Archivio » 2009 » febbraio » venerdì 27 »

Adobe, arrivano i cerotti per Flash

adobe buffer overflow clickjacking flash

Scritto da Guido Sintoni

La nuova versione del diffuso plug-in rimedia ad alcune vulnerabilità: si va dal buffer overflow al denial-of service. I problemi riguardano Windows, Mac e Linux. L’agente di aggiornamento automatico è già in azione

Aggiornamento per Flash Player: il software di casa Adobe, installato sulla quasi totalità dei desktop al mondo, viene corretto per ovviare a cinque distinte vulnerabilità che riguardano Windows,Mac OS X e Linux. E, vista la diffusione del plug -in, c’è da tirare un sospiro di sollievo per lo scampato pericolo, anche in assenza di exploit in libera uscita. Stando all’analisi di Secunia, il rischio complessivo è “altamente critico“.

Il bollettino di Adobe è esaustivo: tra i bug risolti, ce n’è uno che espone l’applicazione al rischio di buffer overflow e che può aprire le porte all’esecuzione arbitraria di codice. Un esempio pratico? Pubblicità al veleno. Diciamo che non sembra difficile creare banner con spyware annesso o altri software a scelta. “Le vittime di attacchi basati su Flash - sottolinea un’altra analisi a cura di iDefense , la divisione di Verisgn che si occupa di sicurezza - sono solitamente ingannate con trucchi basati su social engineering o mediante contenuti maligni iniettati su siti Web fidati”.

Oltre ai problemi legati alla memoria, le patch di Adobe ovviano al possibile clickjacking, tecnica d’attacco sulla carta difficoltosa ma molto efficace se l’utente viene portato a compiere determinate azioni (tipicamente, a cliccare su aree di siti Web maligni, link o pulsanti che veicolano script nocivi senza che questi se ne accorga).

Gli altri aggiornamenti correggono un potenziale denial-of-service e un possibile accesso ai dati su sistemi Linux. La versione aggiornata di Flash è la 10.0.22.87: l’agente di aggiornamento automatico dell’applicazione è già all’opera e dovrebbe in queste ore suggerire il da farsi. Nel dubbio, viene utile la pagina Web di Adobe che mostra la versione di Flash adottata.

Sistemato Flash, non resta che mettere mano ad Acrobat: Adobe ha promesso di aggiornarlo per l‘11 marzo, perché ad oggi c’è un exploit in libera uscita, pur se di diffusione limitata, che ne mette a rischio gli utenti.