Il Disinformatico: patch

Visualizzazione post con etichetta patch. Mostra tutti i post

2018/01/05

Meltdown e Spectre, le cose da sapere e da fare (senza panico)

Ultimo aggiornamento: 2018/01/07 00:40.

Se avete sentito parlare in toni drammatici di due importanti falle informatiche annunciate in questi primi giorni del 2018, rilassatevi.

Sì, il problema è serio, ma se non siete informatici per lavoro (per esempio gestite una banca o un servizio cloud) probabilmente vi basta aggiornare il vostro Windows, Mac, Linux, Android o iOS e le vostre applicazioni (in particolare il browser) come consueto, senza panico. Forse dovrete aggiornare anche il firmware del vostro processore. Se invece siete informatici per lavoro, vi aspettano giorni difficili e mi dispiace molto per voi.

In estrema sintesi, Meltdown e Spectre sono i nomi dati a gravi difetti di progettazione e di funzionamento presenti in buona parte dei processori fabbricati dal 1995 in poi da Intel e in alcuni di quelli prodotti da AMD e progettati da Arm. Sono processori usati in computer, tablet, telefonini e molti altri dispositivi (comprese le auto “intelligenti”). Non si tratta dei soliti difetti di app o sistemi operativi: qui sono proprio i chip stessi a essere fallati.

Specificamente, Meltdown è un difetto dei processori della Intel (e del futuro Cortex-A75 della Arm), mentre Spectre (in due varianti) tocca non solo i processori di Intel ma anche quelli di AMD (Ryzen) e Arm usati sugli smartphone, secondo The Register. Meltdown è risolvibile via software; Spectre per ora no.

Questi difetti hanno una caratteristica comune: entrambi risiedono nelle funzioni di speculative execution dei processori e intaccano le barriere protettive fondamentali che isolano un processo da un altro (per esempio un’app da un’altra). Normalmente un’app non può spiare i dati usati da un’altra app, ma con Meltdown e Spectre questo isolamento cade, e cade malamente, come racconta questo articolo tecnico.

Questo consente per esempio a una pagina Web o a un’app ostile di rubare password (persino da un gestore di password), chiavi crittografiche, Bitcoin e altre criptovalute, mail, foto, documenti o altri dati o di eseguire istruzioni a suo piacimento sul vostro dispositivo. Basta usare del Javascript in un browser non aggiornato. In altre parole, è male.

Per i sistemi aziendali che usano macchine virtuali, è stato dimostrato che un attacco eseguito su una macchina virtuale può leggere la memoria fisica della macchina ospite (host) e da lì leggere la memoria di un’altra macchina virtuale presente sullo stesso host. Per chi gestisce o usa servizi cloud, insomma, è malissimo.

Tanto per darvi un’idea di quanto sia brutta questa situazione, il CERT statunitense aveva inizialmente consigliato di cambiare tutti i processori ("Fully removing the vulnerability requires replacing vulnerable CPU hardware.") (copia su Archive.is). Poi si è ricreduto.

Non risulta al momento che ci siano attacchi attivi che sfruttano queste falle, ma è probabilmente solo questione di tempo [2017/01/05 19:00: sono arrivati]. Le dimostrazioni di efficacia di queste falle realizzate dagli esperti, invece, sono già in circolazione:

Using #Meltdown to steal passwords in real time #intelbug #kaiser #kpti /cc @mlqxyz @lavados @StefanMangard @yuvalyarom https://t.co/gX4CxfL1Ax pic.twitter.com/JbEvQSQraP
— Michael Schwarz (@misc0110) 4 gennaio 2018

#Meltdown in Action: Dumping memory (GIF version) #intelbug #kaiser /cc @misc0110 @lavados @StefanMangard @yuvalyarom pic.twitter.com/x46zvm60Mc
— Moritz Lipp (@mlqxyz) 4 gennaio 2018

Siccome cambiare processore non è granché fattibile nella maggior parte dei dispositivi, è necessario ricorrere a correzioni software, da scaricare tramite aggiornamenti del firmware, del sistema operativo e delle applicazioni.

Nonostante le preoccupazioni iniziali su possibili riduzioni delle prestazioni dei processori dovuti a queste correzioni, le prime indicazioni non rivelano rallentamenti avvertibili in circostanze normali [2018/01/07 00:40 segnalati tempi quasi doppi per il mining della criptovaluta Monero].

Per il firmware, Intel ha annunciato di aver già pubblicato aggiornamenti correttivi per “la maggior parte dei processori introdotti negli ultimi cinque anni”, ma solo per Meltdown; Spectre rimane. AMD ha pubblicato delle informazioni di base; Arm ha messo online un elenco dei prodotti vulnerabili e le patch per Linux.
Per i dispositivi Apple, iOS risulta già corretto dalla versione 11.2, macOS dalla 10.13.2 e tvOS dalla 11.2 (watchOS non richiede aggiornamenti correttivi). Il browser Safari dovrebbe ricevere a breve un aggiornamento.
Per Linux è disponibile un aggiornamento (piuttosto manuale). Il kernel 4.14.11, rilasciato il 3 gennaio, risolve le falle. Per sapere quale kernel avete, il comando (a terminale) è uname -r o uname -a.
Per i dispositivi Android sono disponibili gli aggiornamenti della patch 2018-01-05 (almeno per i telefonini e tablet supportati dai produttori); per sapere se il vostro Android è aggiornato, seguite Impostazioni - Sistema - Informazioni sul telefono (o tablet) - Livello patch di sicurezza.
Firefox è corretto dalla versione 57.0.4. Se avete una versione precedente, aggiornatela.
Google Chrome sarà corretto dalla versione 64, che dovrebbe uscire il 23 gennaio; nel frattempo conviene attivare la site isolation come descritto qui.

Il problema principale è Windows.

Microsoft Edge, Internet Explorer 11, Windows 10, Windows 8.1 e Windows 7 SP1 sono corretti con l’aggiornamento KB4056890 del 3 gennaio scorso (come spiegato nella Client Guidance for IT Pros, nella Server Guidance e nell’Advisory ADV180002 di Microsoft) e con l’aggiornamento KB4056892: lanciate Windows Update per aggiornarvi.
Tuttavia ci sono conflitti con alcuni antivirus, per cui gli aggiornamenti non si installano sui dispositivi che hanno quegli antivirus (la lista è in continua evoluzione; Kaspersky era già a posto da fine dicembre). Siamo insomma all’ironia che gli antivirus ostacolano la sicurezza.
Esiste un’app gratuita per verificare la corretta installazione degli aggiornamenti in Windows: si chiama SpecuCheck.

Per i computer, i tablet e i telefonini (almeno quelli aggiornabili), insomma, il problema è risolvibile, anche se ci sarà sicuramente qualcuno che non si aggiornerà perché si crede più intelligente degli altri o perché ha un capo che si crede più intelligente degli altri. Ma restano i vecchi smartphone e tutti gli altri dispositivi connessi a Internet, quelli dell’Internet delle Cose, come sistemi di monitoraggio e controllo remoto, “smart TV”, automobili, impianti di domotica, che forse non vedranno mai un aggiornamento.

Se volete saperne di più, in italiano potete leggere per esempio Siamogeek o Il Post; in inglese c’è una panoramica dettagliata su Gizmodo e nei siti dedicati alle vulnerabilità, ossia Meltdownattack.com e Spectreattack.com.

Se siete responsabili informatici di un’azienda, potreste trovare ispirazione in questi consigli per definire un piano d’azione. Preparate i fazzoletti.

2018/01/05 19:00

Come facilmente prevedibile, cominciano ad arrivare i primi attacchi, basati su Spectre.

#Spectre people just starting to play with proofs of concepthttps://t.co/v0ieaonHtB https://t.co/3WBueog66Y https://t.co/A1wMZcPaUQ https://t.co/8i7NO4gSw9
— Bernardo Quintero (@bquintero) January 5, 2018

Fonti aggiuntive: Bruce Schneier, The Verge, Google Project Zero, Medium, ANSA, CERT, The Register, VirusBulletin, Sophos, BleepingComputer, BBC, Repubblica.

2014/09/30

ShellShock, Apple rilascia gli aggiornamenti correttivi

Sono disponibili gli aggiornamenti per Mac OS X Mavericks, Mountain Lion e Lion che risolvono il difetto di sicurezza di Bash per queste versioni del sistema operativo per computer di Apple.

Maggiori dettagli su Ars Technica, 9to5Mac.

L'immagine della T-shirt con la dicitura Breaking Bash è tratta da qui.

2013/10/04

Dieci anni di Martedì delle Pezze: il “Patch Tuesday”

Questo articolo era stato pubblicato inizialmente il 4/10/2013 sul sito della Rete Tre della Radiotelevisione Svizzera, dove attualmente non è più disponibile. Viene ripubblicato qui per mantenerlo a disposizione per la consultazione.

Martedì prossimo (8 ottobre) Microsoft rilascerà otto aggiornamenti di sicurezza, che riguardano Windows, Internet Explorer, .NET, Office, SharePoint e Silverlight. Almeno una di queste falle viene già sfruttata attivamente su Internet dai criminali informatici, per cui non è il caso di tentennare sull'aggiornamento.

Il rilascio degli aggiornamenti coinciderà con il decimo anniversario del cosiddetto “patch Tuesday”, letteralmente il “martedì delle pezze (o delle patch)”: questo è il nome che Microsoft usa per indicare il secondo martedì di ogni mese, che è il giorno scelto dall'azienda per rilasciare in blocco gli aggiornamenti di sicurezza che Microsoft ha preparato e accumulato nel corso del mese. Questa tecnica di rilascio fu introdotta a ottobre del 2003 per dare agli amministratori di sistema una data certa e regolare per la quale prepararsi agli aggiornamenti. Le eccezioni alla regola del secondo martedì vengono riservate soltanto per le vulnerabilità più gravi attivamente sfruttate per attacchi informatici.

Oltre al “patch Tuesday” esiste anche l'“exploit Wednesday”, ossia (traducendo un po' liberamente) il “mercoledì dello sfruttamento del mancato rattoppo”: i criminali informatici analizzano infatti gli aggiornamenti, li confrontano con le versioni precedenti del software e osservano le differenze. Questo permette loro di scoprire i punti vulnerabili dei vari software e di creare attacchi che li prendono di mira, contando sul fatto che molti utenti sono pigri o riluttanti ad installare gli aggiornamenti (oppure non possono farlo a causa di politiche aziendali) e quindi restano vulnerabili. Non rendete la vita facile ai criminali digitali: aggiornate sempre e subito il vostro software.

2010/08/06

Microsoft, patch critica per baco .Lnk

Riparata la vulnerabilità critica di Windows che sfrutta i file .LNK; in arrivo altri rattoppi

Microsoft ha distribuito un aggiornamento di sicurezza straordinario che corregge il modo in cui Windows, nelle versioni da XP a 7, gestisce gli shortcut (file di collegamento, di solito contraddistinti dall'estensione .LNK). Era sufficiente visualizzare l'icona di questi file per aprire le porte alle infezioni virali.

L'aggiornamento è disponibile dal 2 agosto scorso e si installa automaticamente su tutti i computer Windows che hanno attivato gli aggiornamenti automatici. Microsoft ha segnalato che l'insolita distribuzione al di fuori dei consueti aggiornamenti mensili si è resa necessaria per via dell'aumento degli attacchi che stavano sfruttando questa vulnerabilità (la CVE-2010-2568), come descritto in dettaglio dal Microsoft Malware Protection Center. Un gruppo di questi attacchi, denominato Sality, "infetta altri file (rendendo difficile la rimozione dopo l'infezione), si copia ai supporti rimovibili, disabilita la sicurezza e poi scarica altro malware" ed è "una delle famiglie più prevalenti di quest'anno". Brasile e Stati Uniti sono i paesi maggiormente presi di mira. Un buon antivirus aggiornato dovrebbe rilevare e bloccare questo tipo di minaccia.

Il 10 agosto, il giorno del rituale patch Tuesday, Microsoft distribuirà un numero record di aggiornamenti e correzioni: ben 14 bollettini di sicurezza descrivono e risolvono 34 vulnerabilità in Windows (XP, Vista, 7 e altre versioni server), Internet Explorer, Office, SQL e Silverlight. Otto dei bollettini sono classificati come "critici" e sei sono "importanti". Il preavviso tecnico di Microsoft è disponibile qui. Agosto non sarà un mese di riposo per chi fa manutenzione di computer.

2010/05/07

Microsoft patcha di soppiatto

Le patch segrete di Microsoft

I bollettini Microsoft per gli aggiornamenti di sicurezza MS10-024 e MS10-028, pubblicati ad aprile, descrivevano soltanto una vulnerabilità classificata "importante" o "media" ma non "critica". In realtà installava silenziosamente anche delle correzioni per due falle molto più gravi, decisamente critiche, che Microsoft non ha annunciato nonostante costituissero un rischio per molti utenti, secondo quanto rivelato da un articolo della società di sicurezza informatica Core Security.

Le falle in Microsoft Exchange e nei servizi SMTP rendevano molto semplice falsificare (fare spoofing) le risposte alle query DNS; un problema non da poco, sfruttabile per vari attacchi informatici. Soprattutto, lamenta la Core Security, il fatto di non annunciare la correzione ha impedito ai responsabili della sicurezza informatica delle aziende di conoscere la vera importanza della patch di Microsoft e quindi valutarne e pianificarne opportunamente l'introduzione. Nel bollettino c'era solo un accenno annidato nelle FAQ.

Microsoft ha risposto (per esempio a The Register) con una frase molto diplomatica e Core Security ha a sua volta ribattuto: se volete immergervi nei dettagli tecnici, li trovate su Breaking Code, che spiega anche quanto sia diffusa questa prassi di affidare agli utenti aggiornamenti che correggono vulnerabilità senza annunciarlo. Oggi, per fortuna, queste correzioni infilate di soppiatto sono smascherabili dagli esperti: se volete sapere come si fa, cercate le parole binary diffing.

2010/04/09

Patch mensile per Microsoft

Windows e Office, 25 falle da turare martedì prossimo

Preparatevi: il 13 aprile prossimo Microsoft rilascerà le correzioni che turano 25 vulnerabilità di Windows (tutte le versioni, compresa la 7), Office (versioni XP, 2003 e 2007) ed Exchange Server. Cinque di queste sono considerare critiche ed espongono l'utente al rischio di esecuzione di codice da remoto: in altre parole, permettono a un aggressore di prendere il comando del PC della vittima.

Manca all'appello, nella lista delle falle turate, quella di Internet Explorer presentata durante la gara di smanettoni Pwn2Own svoltasi a fine marzo a Vancouver. Verranno invece corrette la vulnerabilità in VBScript che permetteva di infettare il computer della vittima inducendola a premere il tasto F1, segnalata ai primi di marzo, e in SMB (Server Message Block, il protocollo di condivisione standard di Windows).

Tutti i dettagli delle versioni di software interessate dalle falle e dai rispettivi aggiornamenti di correzione sono elencati nel bollettino di preavviso di Microsoft del mese corrente.

Microsoft ricorda inoltre agli utenti di Windows XP che XP SP2 non verrà più supportato da Microsoft per gli aggiornamenti di sicurezza a partire da metà luglio 2010, per cui è opportuno aggiornare XP al Service Pack 3 oppure passare a una versione più recente del sistema operativo. Per sapere se siete aggiornati al Service Pack 3, aprite Esplora Risorse, cliccate sul menu Guida (il punto interrogativo), scegliete Informazioni su Windows e leggete cosa dice la riga che inizia con la parola Versione.

2010/02/18

Rootkit incompatibile? No problem, c’è la patch

Aggiornamento problematico di Windows causato da infezione virale. Soluzione: aggiornamento automatico del virus

Questo articolo vi arriva grazie alle gentili donazioni di "teresal****" e "p.tiz****".

Il pacchetto mensile di aggiornamenti di Windows di questo mese aveva dato problemi nell'aggiornamento MS10-015 agli utenti di Windows XP e Vista, con tanto di Schermo Blu della Morte, come descritto in un articolo precedente. Ma non era colpa di Microsoft: il problema era scatenato da un virus, più propriamente un rootkit (un programma ostile che altera i file vitali del sistema operativo), che era già presente sui computer. L'aggiornamento falliva, insomma, perché il PC era infetto.

Questo agente infettante, in circolazione almeno da novembre scorso e denominato TDL3 o TDSS o Tldserv a seconda della società di sicurezza informatica che lo descrive, si insedia nel file atapi.sys di Windows, che è un driver: questo gli consente di agire con i massimi privilegi di sistema, dando ai suoi creatori pieno accesso al computer infettato. Astuto. Ma l'aggiornamento di Windows andava in conflitto con il rootkit e questo portava allo Schermo Blu della Morte quando si riavviava il computer dopo l'aggiornamento Microsoft.

La soluzione è stata semplice quanto ironica: nel giro di un paio d'ore, gli autori del rootkit hanno aggiornato la propria creatura (cosa che stanno facendo da mesi sui computer delle proprie vittime ignare), rendendola compatibile con l'aggiornamento di Windows. Tanta solerzia non è certo dettata dall'altruismo: un PC infetto che va in tilt è, per i gestori dell'infezione, un PC inutilizzabile per i loro loschi scopi.

Purtroppo l'aggiornamento virale non è arrivato in tempo per molti utenti Windows. Le istruzioni per rimediare ad eventuali problemi sono presso PatrickWBarnes.com (in sintesi, boot da CD di Windows e sostituzione di atapi.sys con una copia originale non infetta); i dettagli sul rootkit sono presso Prevx.com.

2010/02/12

Windows, tappato il buco quasi maggiorenne

Patch mensile di Windows tura falla aperta da 17 anni

Questo articolo vi arriva grazie alle gentili donazioni di "massimilianodepa******" e Luca Canteri (citato con il suo permesso) ed è stato aggiornato dopo la pubblicazione iniziale.

Il pacchetto mensile di aggiornamenti di sicurezza di Microsoft di febbraio, uscito martedì scorso, è piuttosto corposo ma non da record. Tura 26 falle e riguarda gli utenti di tutte le versioni recenti di Windows; le vulnerabilità considerate critiche sono cinque in XP e 2000 e tre in Vista e Seven. Ci sono anche aggiornamenti per le versioni pre-2007 di Microsoft Office, comprese quelle per Mac. Non risolve, tuttavia, la falla che consente agli aggressori di leggere da remoto i file degli utenti di XP e Internet Explorer.

Come descritto nel dettagliato bollettino di Microsoft, si tratta di correzioni preventive: nessuna di queste falle veniva sfruttata per attacchi informatici, a quanto risulta, ma ora che è stata annunciata la loro esistenza è probabile che qualcuno ne approfitterà, anche perché alcune consentono di prendere il controllo del PC della vittima da remoto. Per una di esse, la MS10-013, era sufficiente convincere la vittima ad aprire un file video AVI appositamente truccato. Un'altra, come segnalato a gennaio, era aperta da 17 anni: risaliva a Windows NT 3.1.

Aggiornare il proprio software è quindi altamente consigliabile, ma con le solite cautele: fate una copia di sicurezza del sistema prima di procedere. Ci sono infatti alcune segnalazioni di problemi con uno degli aggiornamenti, l'MS10-015, ossia proprio quello che risolve la falla quasi maggiorenne. Questo aggiornamento causa lo schermo blu della morte in alcune installazioni di Windows XP. I computer colpiti non riescono poi a riavviarsi correttamente. Il problema è discusso, insieme alle istruzioni per la risoluzione, nei forum Microsoft qui.

Il rimedio consigliato, però, richiede l'uso del CD o DVD d'installazione di Windows, che purtroppo un buon numero di marche di computer non fornisce più (scelta irresponsabile che andrebbe punita perlomeno rifiutandosi di comperare PC venduti in questa configurazione), ed è ovviamente un grosso problema per gli utenti di netbook, che non hanno un lettore di CD/DVD integrato. Il blog di Brian Krebs offre qualche rimedio per chi non è debole di cuore. L'Internet Storm Center affronta il problema qui.

2009/12/18

Acrobat e Reader, falla Javascript

Usate Acrobat o Reader? Meglio disabilitare Javascript in entrambi

Leggi un PDF e t'infetti. Sembra impossibile, visto che il PDF è un formato di sola lettura, eppure nei programmi Acrobat 9.2 e Reader 9.2 di Adobe, che gestiscono questo formato, c'è una falla critica, classificata come CVE-2009-4324 e segnalata qui da Adobe, che viene già sfruttata dai criminali online per installare software ostile sui computer delle vittime inconsapevoli del rischio.

La falla riguarda le versioni Windows, Macintosh e Unix del popolarissimo Reader gratuito e le versioni Windows e Mac di Acrobat (sì, sono a rischio anche i Mac). La correzione non sarà pronta prima del 12 gennaio prossimo, secondo quanto annunciato da Adobe.

Fino a quella data, se usate questi programmi e non volete essere esposti a questa vulnerabilità dovete disattivare le loro opzioni Javascript andando nelle loro preferenze, scegliendo la categoria Javascript e cliccando sulla casella di abilitazione del Javascript in modo da far sparire il suo segno di spunta.

Più in generale, è molto raro aver bisogno di usare Javascript dentro un documento PDF, per cui vi conviene tenere comunque Javascript disattivato nel Reader. Se per qualche ragione abbastanza insolita avete bisogno di tenerlo attivato ma volete comunque ridurre i rischi dovuti alla falla, potete usare i consigli tecnici provvisori di Adobe.

2009/12/01

Schermo nero della morte per Windows 7?

L'articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2009/12/02 12:50.

Vari siti specialistici e anche siti generalisti come la BBC stanno segnalando un problema che a quanto pare potrebbe affliggere milioni di utenti di Windows 7 ed è stato battezzato affettuosamente lo Schermo Nero della Morte.

In pratica, all'avvio di Windows 7 lo schermo risulta completamente nero dopo aver fatto login: niente desktop, taskbar o barra laterale, ma (quando va bene) solo una finestra di Explorer. Questo rende comprensibilmente piuttosto difficile lavorare. Il problema riguarda anche Windows Vista, XP, NT, e 2000.

La società di software Prevx ha predisposto un rimedio temporaneo e parziale. La causa sembra essere uno dei recenti aggiornamenti di Windows, quello del 25 novembre, che ha cambiato la gestione del Registro. Cercando negli archivi Microsoft si trovano delle informazioni per XP, che però sembrano riguardare un altro problema che produce una schermata nera. Secondo InformationWeek, Microsoft per ora si limita a dire che "sta investigando le segnalazioni" e che a indagine completata fornirà "istruzioni dettagliate su come prevenire o gestire queste problematiche".

Ne siete stati colpiti? Avete maggiori informazioni? Una foto o un video? Non vorrei che fosse una tempesta in un bicchier d'acqua. Fate le vostre segnalazioni nei commenti.

Soprattutto una raccomandazione: non fidatevi di siti Web sconosciuti che offrono rimedi per questo problema. I parassiti e criminali della Rete stanno già approfittando della notizia.

Aggiornamento 2009/12/01 ore 21:10

A quanto risulta dalle ultime notizie (Cnet.com) e dai vostri commenti, il problema è piuttosto circoscritto e di certo non sta causando disastri planetari. Alcuni utenti di Slashdot confermano di essere stati colpiti momentaneamente dal baco. Microsoft Technet ne discute con gli utenti qui.

Aggiornamento 2009/12/02 ore 00:10

Il Microsoft Security Response Center dice che gli aggiornamenti di Windows di novembre non sono collegati allo "schermo nero della morte" in questione, che il meccanismo proposto dalle fonti che hanno segnalato il problema (una modifica ai permessi del Registro) non c'è negli aggiornamenti suddetti ("none of these updates make any changes to the permissions in the registry. Thus, we don’t believe the updates are related to the “black screen” behavior described in these reports."): la causa potrebbe essere un malware. Inoltre, sempre secondo il MSRC, il problema non è molto esteso.

Aggiornamento 2009/12/02 ore 12:50

Prevx chiede "scusa a Microsoft per eventuali disagi causati" dal suo articolo e conferma che le patch recenti di Windows non c'entrano nulla con lo Schermo Nero della Morte.

Fonti aggiuntive: Hwupgrade.it

2009/10/16

Microsoft, patch da record

34 falle da turare per gli utenti Windows

Il 13 ottobre Microsoft ha pubblicato un aggiornamento da record che risolve ben 34 vulnerabilità che riguardano Windows, Internet Explorer, Windows Media Player, Office, Silverlight, Forefront, Developer Tools, Internet Information Services, ActiveX e SQL Server. Otto di queste vulnerabilità sono classificate come critiche: una è una falla in Internet Explorer 8 sotto Windows 7.

L'aggiornamento verrà ricevuto automaticamente dalla maggior parte degli utenti, ed è importante installarlo appena possibile perché alcune delle vulnerabilità turate, per esempio quella del protocollo FTP in Internet Information Services e le quattro di Internet Explorer che richiedono solo di attirare la vittima su una pagina preconfezionata, vengono già sfruttate da alcuni criminali informatici.

Il record precedente per un singolo aggiornamento era di giugno 2009, con 31 vulnerabilità turate nell'ambito degli aggiornamenti che Microsoft da fine 2003 pubblica il secondo martedì di ogni mese.

Fonti: BBC, Microsoft, ZDNet, Microsoft

2009/05/15

Windows 7 pirata infetta utenti, megapatch per Apple

Non piratate Windows 7: è disponibile legalmente. E se preferite la Mela, aggiornate Mac OS X

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Due segnalazioni veloci dai due principali sistemi operativi: la prima riguarda Windows 7, il successore di Windows Vista. Le copie pirata circolanti in Rete sono spesso infette. Eweek, Zdnet e il Washington Post segnalano che una di queste copie infette agisce come un cavallo di Troia ed è riuscita ad infettare oltre 27.000 utenti.

L'infezione avanza al ritmo di circa 1500 nuove vittime al giorno, ma la società di sicurezza informatica Damballa è riuscita a prendere il controllo del sito Internet dal quale le copie infette prendevano ordini a insaputa degli utenti, convinti di essere stati particolarmente furbi. In realtà sono stati particolarmente gonzi, perché la Release Candidate di Windows 7 è scaricabile legalmente gratis dal sito ufficiale di Microsoft (dettagli qui; link diretto all’Evaluation Center italiano, grazie a Renato per la dritta).

La seconda segnalazione tocca gli utenti Apple: è uscita una mega-patch che porta il sistema operativo Mac OS X Leopard alla versione 10.5.7, rattoppando ben 67 falle di sicurezza, tre delle quali riguardano Safari, il browser predefinito del mondo Mac. L'elenco completo delle vulnerabilità corrette è sul sito di Apple in inglese e anche in italiano. E' interessante notare che stando agli indizi presenti nella pagina di dettaglio di Apple, l'aggiornamento per Mac correggerebbe anche la segretissima falla che a marzo ha permesso a un utente noto solo come "Nils" di vincere con poca fatica un laptop Vaio e un premio in denaro alla gara di sicurezza CanSecWest, come raccontato qui.

2009/03/06

Aggiornamenti e falle per Firefox, Microsoft e Acrobat

Rattoppi e buchi un po' per tutti, occhio ai PDF

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

È un periodo intenso di vulnerabilità e di rattoppi generali. Firefox è uscito da poco con la versione 3.0.7, che sistema cinque falle, tre delle quali erano classificate come critiche, e corregge alcuni problemi di stabilità e di gestione della memoria. I dettagli sono descritti qui sul sito ufficiale. L'aggiornamento è di norma automatico.

Anche Thunderbird, il popolare programma di posta, si rattoppa perché condivide parte del proprio codice con Firefox: i suoi utenti possono rimediare usando l'aggiornamento alla versione 2.0.0.21, per ora disponibile solo tramite scaricamento manuale ma prossimamente disponibile anch'esso in automatico.

Tornando ai browser alternativi, anche chi usa Opera si deve aggiornare, alla versione 9.64, perché il browser aveva una falla che permetteva a un'immagine JPEG appositamente confezionata di mandarlo in crash, spianando la strada agli aggressori.

In casa Microsoft ci si prepara invece al consueto aggiornamento mensile, il patch Tuesday, che stavolta prevede correzioni per Windows 2000, XP e Vista, nonché Server 2003 e 2008, per via di falle che Microsoft definisce in un caso "critiche", perché consentono l'esecuzione remota (ossia permettono a un aggressore di prendere il controllo del PC della vittima). Resta aperta la falla di Microsoft Excel che permette la stessa presa di controllo tramite un file Excel ostile.

Allegati a rischio anche per chi usa il formato PDF, e in un modo particolarmente insidioso e per ora non riparabile: Adobe Acrobat e Reader hanno una falla che sotto Windows permette di infettarsi anche senza aprire il documento infetto: è sufficiente lasciare il mouse qualche istante sopra l'icona del file PDF ostile oppure selezionarlo. La patch di correzione sarà pronta intorno all'11 marzo, secondo Adobe. Nel blog di Didier Stevens c'è un video con annotazioni tecniche che spiegano il meccanismo di azione di un esempio di PDF ostile che sfrutta questa vulnerabilità.

2009/02/06

Firefox 3.0.6 elimina 6 bachi, 1 critico; IE idem

Aggiornate il vostro Firefox e turate le falle; preparatevi a fare lo stesso per Internet Explorer

Dovreste essere già a posto grazie alla funzione di aggiornamento automatico di Firefox, se usate questo popolare programma di navigazione, ma controllate di avere la versione 3.0.6, disponibile anche in italiano per Mac, Windows e Linux, che rimedia sei vulnerabilità di sicurezza, una delle quali è considerata "critica" perché Firefox poteva crashare in un modo che poteva permettere ad un aggressore di sfruttare il crash per eseguire il proprio codice sul computer della vittima. L'elenco completo delle falle di sicurezza turate è disponibile qui. E' il sesto aggiornamento di Firefox in sei mesi.

Se nel mondo open source di Firefox si va avanti a produrre rattoppi, anche in casa Microsoft è ora di sistemare falle: secondo Zdnet, nel consueto pacchetto mensile di aggiornamenti, previsto per martedì prossimo (10 febbraio), ci saranno correzioni per quattro falle classificate come "critiche" e riguardanti vulnerabilità di Internet Explorer e di Microsoft Exchange Server. Altre falle turate, definite "importanti", riguarderanno SQL Server e Office.

Lo so, scaricare e installare è una scocciatura, ma è indispensabile per mantenere alte le difese, e Firefox e Microsoft fanno di tutto per rendere automatico e indolore il procedimento. Non cincischiate, e se non siete responsabili della sicurezza del vostro computer, assicuratevi che chi lo è si tenga al passo con gli aggiornamenti o abbia delle validissime ragioni per non farlo.

2008/07/10

Patch Microsoft blocca Zone Alarm

Utenti di Zone Alarm tagliati fuori da Internet? C'entra la patch di zio Bill

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Se improvvisamente non riuscite a collegarvi a Internet, o se conoscete qualcuno che ha questo problema, la colpa potrebbe essere dell'ultima infornata di patch di aggiornamento di Windows, in particolare della patch MS08-037.mspx che risolve una falla nell'implementazione del protocollo DNS in Windows 2000, XP, Server 2003, Server 2008.

Questa patch, infatti, manda in palla Zone Alarm: chi usa questo popolare firewall si trova tagliato fuori da Internet. Check Point Software, la società che gestisce Zone Alarm, ha pubblicato uno spiegone in inglese con soluzione provvisoria. Ovviamente, essendo pubblicato su Internet, questo spiegone rischia di essere poco utile a chi non riesce a connettersi a Internet, ma così va il mondo.

2008/07/15

La situazione sembra essere tornata alla normalità con l'uscita della versione aggiornata di Zone Alarm il 9 luglio. E' stata predisposta una pagina in italiano con le istruzioni da seguire: cambiare temporaneamente la regolazione della Zona Internet a Medio e poi scaricare e installare la versione aggiornata (7.0.403 o superiore) del popolare software di sicurezza. Un riavvio e tutto riprende a funzionare.

Certamente il problema sarebbe stato evitabile se Microsoft avesse testato gli effetti del proprio aggiornamento su Zone Alarm e avesse almeno messo in guardia gli utenti prima di installare la propria patch, ma a quanto pare la cortesia verso gli utenti non si usa più se significa fare un minimo favore a un concorrente.

2007/05/29

Apple, una dozzina di falle da turare

Falle Mac OS X gravi, patch da installare subito

Questo articolo vi arriva grazie alle gentili donazioni di "massimo.fia****" e "cp". L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Apple ha rilasciato una patch che tura oltre una dozzina di falle, alcune decisamente gravi, all'interno del proprio sistema operativo Mac OS X. Una di queste falle permette di prendere il controllo di un Mac all'interno di una sottorete e quindi è ideale per esempio per un attacco all'interno di un ufficio o di un hotspot Wifi pubblico.

Per questa falla è già circolante il codice necessario per un attacco; un'altra falla importante è veicolata dai documenti PDF. Uno di questi documenti, se confezionato in modo ostile, consente di eseguire codice a piacimento sul Mac della vittima.

La patch è appunto pronta e dovrebbe essere installata automaticamente da Mac OS X. Se avete personalizzato Mac OS X per "disadminizzare" l'account che usate per la normale attività, tuttavia, l'installazione non è automatica ma va eseguita manualmente: basta cliccare sull'icona della mela nella barra menu e scegliere Aggiornamento Software.

E' importante notare che si tratta della quinta patch in cinque mesi per quanto riguarda il sistema operativo di casa Apple; il mito dell'inviolabilità del Mac va quindi ridimensionato con una sana dose di realismo. E' indubbiamente meno vulnerabile di Windows per una lunga serie di ragioni (non solo tecniche) e non ha altrettanti problemi di virus e malware, ma da questo ad atteggiarsi ad invulnerabile, come fanno spesso certi utenti Mac, ce ne passa.

Maggiori dettagli sulla patch e sulle falle che risolve sono in questo articolo di The Register.

2007/04/03

I cursori animati minacciano persino Vista

Patch d'emergenza per Windows: i cursori animati lo mandano in tilt

Questo articolo vi arriva grazie alle gentili donazioni di "franco.bo****" e "happy.moto****". L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Microsoft ha pubblicato un avviso di sicurezza riguardante una falla importante in Windows XP e, in misura minore, anche in Windows Vista. La pezza apposita dovrebbe uscire oggi, secondo ZDNet, a testimonianza della gravità del problema (di solito Microsoft rilascia gli aggiornamenti di sicurezza una sola volta al mese, in blocco).

La falla consente a un cursore animato (file .ANI), annidabile in un e-mail o in una pagina Web visitata con Internet Explorer 6 o 7, di causare un buffer overflow sfruttabile dai vandali della Rete per infettare i computer e usarli per ulteriori attacchi virali o campagne di spam. La falla viene già sfruttata da almeno un worm e da alcuni spammer e si diffonde anche tramite chiavette USB e altri supporti, come riferiscono F-Secure e McAfee.

Aggiornamento (4/4/2007): Zdnet segnala che anche Firefox è vulnerabile a questa falla se usato sotto Windows (anche Windows Vista); non disponendo del Protected Mode di IE, Firefox consente un accesso ai dati dell'utente più esteso rispetto a IE in Protected Mode sotto Vista (con IE, l'intruso può "soltanto" leggere i dati dell'utente; con Firefox può anche modificarli). Sul sito di Determina.com trovate un'animazione (non un cursore animato!) che dimostra IE e Firefox su Vista alle prese con questa falla. Va notato che per Firefox si tratta di un proof of concept, ossia di codice dimostrativo, attualmente non circolante in Rete, ma è comunque una dimostrazione eloquente: come spiega l'animazione, Firefox si appoggia a Windows per la gestione dei cursori animati.

Il blog di McAfee presenta inoltre un video molto eloquente di Vista alle prese con un cursore animato ostile: il crash e riavvio, nota McAfee, non è quello che avviene negli attuali attacchi via Web, ma è comunque una dimostrazione chiara della vulnerabilità. Trend Micro descrive la falla qui.

Microsoft, secondo quanto riferito dal SANS Internet Storm Center, dice che gli utenti di IE7 con il Protected Mode sono protetti, e che gli antivirus aggiornati sono in grado di rilevare la minaccia. Gli utenti di Outlook 2007 sono protetti, come lo sono quelli di Windows Mail su Vista se non inoltrano l'e-mail infetto, mentre gli utenti di Outlook Express restano vulnerabili persino quando leggono la posta in formato "testo semplice".

La raccomandazione, come al solito, è evitare di navigare con Internet Explorer, bersaglio preferito dei vandali, e sostituirlo con Opera, Firefox* o Mozilla.

*Aggiornamento (4/4/2007): Firefox resiste alla falla circolante, ma è vulnerabile (sotto Windows) al codice dimostrativo di Determina.com citato sopra, che usa i cursori animati come vettore d'infezione.

La falla è uno smacco per Microsoft, che ha puntato molto sulla sicurezza come motivo d'acquisto di Vista; vedere che anche Vista è così facilmente bucabile potrebbe indurre a qualche ripensamento, soprattutto all'altezza del portafogli.

2007/03/13

Antivirus Microsoft mangia la posta di Outlook

L'antivirus di Microsoft fa sparire tutta la posta di Outlook se vi trova un virus

Questo articolo vi arriva grazie alle gentili donazioni di "fabrizio.balestr****" e "fabiotechnologies". L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Mentre gli utenti Windows si godono una inconsueta pausa nel ciclo degli aggiornamenti mensili di sicurezza, probabilmente dovuta alla concomitanza di un aggiornamento che gestisce il nuovo calendario dell'ora legale statunitense, giunge la notizia che l'antivirus di Microsoft, Windows Live OneCare (50 euro/anno per tre computer, comprensivo di firewall, backup e altre funzioni di sicurezza), ogni tanto si "mangia" la posta di Outlook.

Lo segnala per esempio Appscout.com, che fornisce anche la spiegazione di questo bizzarro comportamento dell'antivirus Microsoft: se ricevete con Outlook un e-mail infetto, OneCare si accorge che il file contenente tutti i messaggi contiene del codice virale e quindi va messo in quarantena, come si fa con qualsiasi altro file infetto. A modo suo, il comportamento è logico, anche se inatteso e decisamente poco gradito per esempio dai partecipanti al forum di OneCare.

La buona notizia, insomma, è che la posta non viene cancellata, ma soltanto spostata: l'importante è ovviamente saperlo e quindi non disperarsi. Non è un debutto molto felice per l'antivirus Microsoft: speriamo sia soltanto un problema di dentizione.

Aggiornamento: come potete leggere nei commenti, Microsoft ha rilasciato un aggiornamento di OneCare per risolvere la magagna. Il commento include anche le istruzioni per ripristinare i file di posta messi erroneamente in quarantena.

2007/02/27

Firefox, falle da turare

Falle in Firefox 1.5 e 2.0, la pezza è pronta

Questo articolo vi arriva grazie alle gentili donazioni di "pilli48" e "giuseppe".

Secunia segnala una serie di falle di Firefox che vanno turate subito in quanto definite "altamente critiche". Sono colpite sia la versione vecchia, la 1.5, alla quale sono rimasti fedeli molti utenti, sia la più recente versione 2.0. Chi per il momento non può aggiornare Firefox farebbe bene a disabilitare Javascript.

Una delle falle riguarda Javascript, e l'utente si trova esposto a rischi di intrusione, furto di file ed esecuzione di programmi indesiderati, scelti dall'aggressore, in caso di visita a siti-trappola o di visualizzazione di un e-mail ostile in formato HTML.

Gli aggiornamenti per Firefox sono già disponibili: riceverete un avviso automatico che vi invita a scaricarli e installarli. Accettate l'avviso e riavviate Firefox per attivarli e navigare più tranquilli.

Sempre secondo Secunia, anche Internet Explorer 7 ha dei problemi con la stessa vulnerabilità, ma in misura "meno critica".

Cerca nel blog