Microsoft ha rilasciato il bollettino straordinario (out-of-band) MS10-046 per risolvere la vulnerabilità di tipo "zero-day" relativa al formato file Shell Link Binary File Format, (noto come shortcut, collegamento), scoperta nel corso del mese di luglio e che interessa tutti i sistemi Microsoft Windows: si tratta infatti della funzionalità utilizzata per creare gli alias dei file, con estensione .LNK che risulta vulnerabile nella corretta generazione delle icone di collegamento e, se sfruttata da un attaccante mediante un file appositamente creato, può consentire di eseguire codice sul sistema esposto.

Questo aggiornamento è collegato con il Security Advisory 2286198 (CVE-2010-2568) che confermava l'esistenza del problema segnalato in Rete ed è richiamato anche nella sezione Notiziari di questo sito:

http://www.cert-spc.it/index.php/bollettini/notiziari/386-vulnerabilita-nel-formato-file-lnk-di-microsoft-windows.

Ulteriori dettagli e gli aggiornamenti al seguente url:

http://www.microsoft.com/technet/security/bulletin/MS10-046.mspx

Come annunciato in precedenza dal CERT-SPC, nella tarda serata di ieri sono stati rilasciati da Oracle gli aggiornamenti di sicurezza, nell'ambito del programma semestrale di correzione del software, per correggere 59 vulnerabilità che interessano i prodotti di seguito indicati:

• 6 for Oracle Database Server

• 2 for TimesTen In-Memory Database

• 5 for Oracle Secure Backup

• 7 for Oracle Fusion Middleware

• 1 for Oracle Enterprise Manager

• 7 for Oracle E-Business Suite

• 2 for Oracle Supply Chain Products Suite

• 8 for Oracle PeopleSoft and JDEdwards Suite

• 21 for Oracle Sun Products Suite

Come precedentemente annunciato dal CERT-SPC, Microsoft ha reso disponibile nella tarda serata di ieri 4 bollettini di sicurezza, di cui 3 classificati come livello di pericolosità critico ed uno come importante, rilasciati nell'ambito del programma mensile di aggiornamento del software.

Alcune fonti monitorate dal CERT-SPC riportano la notizia della disponibilità in Rete di un exploit, di tipo Proof-of-Concept (PoF) che interessa il servizio di web mail - Outllook Web Access (OWA) - di Microsoft Exchange Server 2007 e probabilmente anche della verisone 2003. La vulnerabilità è causata da un errore nella validazione di alcuni dati fornti all'applicazione da un utnete malintenzioanto. Un' attaccante può sfruttarela vulnerabilità da remoto inducendo in utente a connettersi ad una pagina web appositamente predisposta. Secondo quanto indicato dall'autore dell'exploit la vulnerabilità è stata corretta e quindi non sfrutabile nel Service Pack 3 di Exchange Server 2007 mentre Exchenge server 2003 non è più supportato. Si consiglia gli amministratori di sistema di installare gli aggiornamenti più importanti relativamente alle versioni interessate.

Ulteriori dettagli sono disponibili presso le seguneti URL:
http://sites.google.com/site/tentacoloviola/pwning-corporate-webmails
http://www.securityfocus.com/bid/41462/
http://www.exploit-db.com/exploits/14285/ 

Adobe ha pubblicato lo scorso 29 Luglio un aggiornamento di sicurezza (APSB10-15) ritenuto critico per correggere molteplici vulnerabilità che interessano tutte le versioni di Adobe Reader fino alla 9.3.2 per i sistemi Windows, Macintosh e UNIX. L'aggiornamento di sicurezza interessa, altresì, anche tutte le versioni precedenti di Adobe Acrobat fino alla 9.3.2 inclusa per i sistemi Windows e Macintosh.

L'aggiornamento cumulativo di sicurezza corregge anche la vulnerabilità CVE-2010-1297 precedentemente segnalata dal CERT-SPC ed annunciata da Adobe nell'aggiornamento APSA10-01. Adobe raccomanda di aggiornare i propri sistemi alle versioni più recenti rilasciate quale correttivo alle vulnerabilità segnalate diffidando di link proposti in messaggi di posta elettronica sospetti o tramite ricerche in Rete. Si raccomanda di collegarsi direttamente al sito web della Adobe per installare le ultime versioni dei prodotti interessati dall'aggiornamento di sicurezza.

http://www.mozilla.com/en-US/firefox/3.6.4/releasenotes/
http://www.mozilla.org/security/announce/2010/mfsa2010-26.html
http://www.mozilla.org/security/announce/2010/mfsa2010-27.html
http://www.mozilla.org/security/announce/2010/mfsa2010-28.html
http://www.mozilla.org/security/announce/2010/mfsa2010-29.html
http://www.mozilla.org/security/announce/2010/mfsa2010-30.html
http://www.mozilla.org/security/announce/2010/mfsa2010-31.html
http://www.mozilla.org/security/announce/2010/mfsa2010-32.html
http://www.mozilla.org/security/announce/2010/mfsa2010-33.html
http://secunia.com/advisories/40309/
http://threatpost.com/en_us/blogs/new-firefox-flaw-enables-url-spoofing-code-injection-062210