Vai al contenuto
Raffica di aggiornamenti: Firefox, Java, Flash

Raffica di aggiornamenti: Firefox, Java, Flash

Sono già in corso attacchi che sfruttano le vulnerabilità corrette dagli ultimi aggiornamenti di Firefox (arrivato alla versione 35), Flash e Java, per cui non è il caso di perdere tempo: controllate se avete la versione più recente (qui il test per Flash; qui quello per Java) e se necessario aggiornatevi subito scaricando Flash e Java aggiornati (se ne avete bisogno).

Dato che alcuni di questi attacchi funzionano semplicemente convincendo gli utenti di computer vulnerabili a visualizzare una pagina Web appositamente confezionata, è buona cosa impostare Flash in modo che si attivi soltanto sulle pagine di buona reputazione: in Firefox, per esempio, andate in Strumenti – Componenti aggiuntivi (Add-on) – Plugin e impostate Shockwave Flash e Java a “Chiedi prima di attivare”, mentre in Chrome andate in Impostazioni – Mostra impostazioni avanzate – Privacy – Impostazioni contenuti – Plugin – Blocca per impostazione predefinita. Conviene inoltre usare soluzioni come Adblock per bloccare le pubblicità basate su Flash, che possono veicolare alcuni attacchi in corso non ancora bloccati dagli aggiornamenti.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Aggiornate Adobe Flash. Di nuovo

Aggiornate Adobe Flash. Di nuovo

Nuovo appuntamento con gli aggiornamenti di sicurezza per chi usa Flash Player: Adobe ha rilasciato un aggiornamento d’emergenza per risolvere una falla che stava permettendo agli aggressori di prendere il controllo dei computer dotati della versione più recente di Flash Player su Windows.

In pratica è sufficiente visualizzare un video o un gioco Flash nel browser per trovarsi infettati o comunque sotto il controllo degli aggressori. Kaspersky ha segnalato che la falla viene usata attivamente, per cui non è il caso d’indugiare. Come al solito, andate al sito di Adobe, scaricate l’originale aggiornato (versione 13.0.0.206 per Windows e Mac OS, 11.2.202.356 per Linux) e non fidatevi di avvisi e inviti che compaiono sullo schermo mentre state navigando altrove: possono essere delle trappole.

Questa falla è separata da quella di Internet Explorer, ma è anch’essa del tipo zero day: in altre parole, anche un utente diligente avrebbe avuto zero giorni di tempo per correggerla prima che venisse utilizzata attivamente dai criminali informatici. Kaspersky sostiene che l’attacco era mirato specificamente per colpire i dissidenti siriani ed era diffuso da un sito dell’attuale governo siriano.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Usate Internet Explorer con Flash? Male. Usate anche XP? Peggio

Usate Internet Explorer con Flash? Male. Usate anche XP? Peggio

C’è una vulnerabilità massiccia in Internet Explorer (tutte le versioni, dalla 6 alla 11) che, se combinata con Adobe Flash (come fanno in molti), consente a un aggressore di eseguire codice a piacere sul computer della vittima. La falla viene già sfruttata attivamente dagli aggressori informatici.

Chi usa Windows XP non riceverà mai nessun aggiornamento correttivo: gli altri lo riceveranno non appena Microsoft lo distribuirà. I dettagli sono su SiamoGeek e nel bollettino di Microsoft.

Questa, per quel che mi risulta, è la prima grande falla che viene resa nota e sfruttata concretamente dopo il termine del supporto di aggiornamento a Windows XP all’inizio di questo mese. Non dite che non eravate stati avvisati.

2014/05/02: Mai dire mai. Microsoft ha cambiato idea e ha incluso anche XP nell’aggiornamento di sicurezza che risolve questa falla.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Rituale aggiornamento di Adobe Flash

Rituale aggiornamento di Adobe Flash

Non so quante volte ho già dovuto aggiornare Flash sui miei computer in questi mesi. Capisco la frustrazione di molti che avrebbero voglia di dichiarare tutti questi aggiornamenti dimostrano che Flash è un colabrodo irreparabile e di abbandonarne l’uso, ma purtroppo sono ancora numerosi i siti che adottano questa tecnologia e quindi rinunciare a Flash significa privarsi dell’accesso a molti siti significativi.

Bisogna insomma rassegnarsi al rituale aggiornamento: la versione nuova è la 13.0.0.182 per Windows e OS X, la 11.2.202.350 per Linux (a parte Chrome, che usa la 13.0.0.182) e la 11.2.202.223 per Solaris.

Come consueto, il test di quale versione avete installata attualmente è presso http://www.adobe.com/it/software/flash/about/ e lo scaricamento è presso http://get.adobe.com/it/flashplayer/.

Visti i brutti momenti che stiamo passando con Heartbleed e compagnia bella, diffidate di eventuali mail o altri messaggi d’invito all’aggiornamento e andate manualmente ai siti indicati qui sopra. I criminali informatici sfruttano questi aggiornamenti per inviare falsi link d’aggiornamento alle vittime.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Aggiornamento di Flash Player per Mac, Windows, Linux

Aggiornamento di Flash Player per Mac, Windows, Linux

Adobe ha rilasciato la versione 12.0.0.77 per Mac e Windows di Flash Player e la versione 11.2.202.346 per Linux. Questi aggiornamenti turano falle di sicurezza importanti, come descritto nel bollettino Adobe.

Se usate Flash, controllate se avete già la versione più aggiornata cliccando qui e scaricate l’aggiornamento qui.

Se usate Google Chrome come browser, l’aggiornamento della versione di Flash usata in questo browser è automatico.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Aggiornamenti urgenti per Flash Player e Internet Explorer 9 e 10; Windows XP sta per scadere

Aggiornamenti urgenti per Flash Player e Internet Explorer 9 e 10; Windows XP sta per scadere

Ci risiamo: è già ora di scaricare e installare un nuovo aggiornamento di sicurezza di Flash Player che tura una falla critica già utilizzata per attacchi informatici in Rete che hanno effetto su Windows, Mac e Linux. L’aggiornamento precedente risale soltanto a due settimane fa. L’avviso ufficiale di Adobe, pubblicato ieri, fornisce tutti i dettagli tecnici.

Per sapere se siete aggiornati, visitate questa pagina di Adobe con il vostro browser (o con ciascuno dei browser che usate): dovreste vedere l’indicazione che avete la versione 12.0.0.70 di Flash (per Linux la versione deve essere la 11.2.202.341). Se vedete un numero differente e inferiore, avete bisogno di aggiornarvi. Se usate Chrome o Internet Explorer 10 e 11, riavviateli e ricontrollate se siete aggiornati: questi due browser, infatti, scaricano automaticamente gli aggiornamenti e hanno solo bisogno di un riavvio per attivarli.

Se usate altri browser, potete scaricare manualmente l’aggiornamento andando alla pagina di download di Adobe e seguire le istruzioni che trovate lì. Dopo che avete installato l’aggiornamento, ricontrollate la situazione visitando di nuovo la pagina di test di Adobe.

Evitate, come sempre, i falsi aggiornamenti: adesso ne circola uno per Android che addirittura si fa pagare per l’aggiornamento, che in realtà è gratuito.

Se usate Internet Explorer 9 o 10, inoltre, c’è un bollettino di sicurezza Microsoft che segnala una falla in queste due versioni del browser. Il consiglio di Microsoft è di aggiornare Internet Explorer (usando Windows Update) e poi scaricare e installare questa correzione temporanea.

Fra l’altro, se siete ancora utenti di Windows XP, tenete presente che tra un mese e mezzo termina il supporto tecnico (Extended Support) da parte di Microsoft. Non ci saranno più aggiornamenti o correzioni di sicurezza: se ci sono falle, ve le tenete. È tempo di passare a un sistema operativo più recente.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Aggiornate Flash: è pronto un aggiornamento di sicurezza urgente

Aggiornate Flash: è pronto un aggiornamento di sicurezza urgente

Adobe ha pubblicato un aggiornamento per il suo diffusissimo Flash Player (visualizzatore usato da moltissimi siti per la grafica e per i giochi) che risolve dei difetti di sicurezza che vengono già sfruttati attivamente dai criminali informatici.

I difetti sono classificati come “critici” da Adobe e possono essere utilizzati con intento ostile semplicemente convincendo la vittima a visitare un sito Web appositamente confezionato.

La vulnerabilità riguarda chiunque usi Flash Player su Windows, OS X e Linux. L’aggiornamento dovrebbe essere automatico: se usate una versione non aggiornata di Flash, dovreste vedere una finestra di dialogo di invito allo scaricamento della nuova versione corretta, che è la 12.0.0.44. Se preferite non aspettare l’invito, andate a http://get.adobe.com/it/flashplayer/ e seguite le istruzioni di scaricamento e installazione. Diffidate, come sempre, di eventuali inviti che dovessero comparire durante la navigazione in siti Web discutibili: spesso sono esche per indurvi a scaricare software ostile.

Per sapere se siete aggiornati, controllate la vostra versione di Flash Player andando a questa pagina del sito di Adobe. Se usate Google Chrome o Internet Explorer 11 come programma di navigazione, Flash si aggiorna automaticamente.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Aggiornamenti di sicurezza importanti per tutti: Microsoft, Adobe, Java. Fateli subito

Aggiornamenti di sicurezza importanti per tutti: Microsoft, Adobe, Java. Fateli subito

Un FALSO aggiornamento di Flash Player

Il rituale aggiornamento mensile di sicurezza targato Microsoft tura falle importanti in Microsoft Office 2003, 2007, 2010 e 2013 e in altri prodotti Microsoft che permettono di attaccare i computer che usano questo software semplicemente convincendo l’utente ad aprire un file Word appositamente confezionato (bollettino MS14-001).

Ci sono aggiornamenti importanti anche per gli utenti di Windows XP, Windows 7, Windows Server 2003 e 2008 R2 (bollettini MS14-002 e MS14-003). Visto che i criminali informatici tipicamente lanciano attacchi che sfruttano le falle segnalate dai bollettini di sicurezza, chi non si aggiorna prontamente rischia di essere preso di mira. Dunque aggiornate subito, se potete: il procedimento dovrebbe essere automatico.

Un aggiornamento vero di Flash Player
alla versione 12 per Mac.

Se usate i prodotti Adobe Reader e Adobe Acrobat per leggere o generare documenti PDF, Adobe AIR o Adobe Flash per vedere le animazioni interattive dei siti Web (e di molti giochi su Facebook), aggiornate subito anche questi software, dato che sono stati rilasciati aggiornamenti per Windows, OS X e Linux che turano falle critiche che permettono a un aggressore di eseguire programmi (presumibilmente ostili) sul computer dell’aggredito. I bollettini sono rispettivamente qui per Flash e qui per Reader e Acrobat. Per sapere se avete la versione più recente di Flash c’è il test ufficiale; l’aggiornamento è scaricabile qui. Attenzione, fra l’altro, ai falsi aggiornamenti di Flash che sono in circolazione su vari siti infettati e sono stati segnalati da F-Secure. Per Reader, invece, la versione più recente è scaricabile da questa pagina del sito di Adobe.

Anche Java è uno dei tanti prodotti Oracle che hanno bisogno un aggiornamento rapido; quello di Java che corregge ben 36 vulnerabilità. Fate il test per sapere se avete già installato l’ultima versione o se vi serve scaricarla e installarla manualmente.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.
Falla Flash che accende webcam di nascosto: risolta

Falla Flash che accende webcam di nascosto: risolta

Che ci faccio col clickjacking? Accendo le webcam altrui e spio

Il clickjacking è una tecnica che consente di intercettare una cliccata di un utente e dirottarla altrove. Viene usata spesso su Facebook per esempio per far rispondere inavvertitamente gli utenti a un sondaggio sul quale gli organizzatori del clickjacking percepiscono una commissione per ogni sondaggio compilato. L’utente crede di cliccare su un pulsante per vedere un video, partecipare a un giochino o fare qualcos’altro di allettante, ma il suo clic in realtà viene usato per selezionare le risposte del sondaggio, che si trovano in un iframe invisibile.

È l’equivalente informatico di quando si fa firmare un foglio innocuo a qualcuno mettendo però sotto la carta carbone che copia la firma su un documento compromettente. Il termine clickjacking è stato coniato nel 2008 da Hansen e Grossman in questo articolo.

Pochi giorni fa lo studente d’informatica Feross Aboukhadijeh ha creato una demo di clickjacking che non si limitava a rubare il clic per usarlo in un sondaggio, ma accendeva webcam e microfono della vittima senza che a video comparissero avvisi.

Questo effetto era possibile, spiega Feross, perché i clic venivano trasferiti alla pagina delle impostazioni di Flash sul sito di Adobe, attraverso la quale si possono definire i siti autorizzati ad accedere via Flash a webcam e microfono. Lo studente aveva segnalato ad Adobe la vulnerabilità di questa pagina delle impostazioni tempo addietro, ma Adobe ha corretto il problema soltanto dopo che Feross l’ha reso pubblico.

Va chiarito che nonostante le apparenze (e almeno un paio di articoli d’allarme), le impostazioni degli utenti non sono custodite presso il sito di Adobe ma risiedono sul computer di ciascun utente. La pagina delle impostazioni non fa altro che visualizzare le impostazioni presenti nel computer dell’utente.

C’è, ovviamente, un modo molto semplice per bloccare l’attivazione della webcam: coprirla. Ci sono addirittura venditori di mascherine magnetiche apposite. Questa soluzione, però, non blocca il microfono, che specialmente nei laptop potrebbe essere difficile da scollegare o tappare.

Questo articolo è stato aggiornato dopo la pubblicazione iniziale e vi arriva grazie alla gentile donazione di “marziopanc*”.

Scritto da Paolo Attivissimo per il blog Il Disinformatico. Ripubblicabile liberamente se viene inclusa questa dicitura (dettagli). Sono ben accette le donazioni Paypal.