Spifferi aperti nell'ActiveX di Acrobat

I bug hunter rilevano nel controllo ActiveX utilizzato da IE per aprire i documenti PDF diverse vulnerabilità di sicurezza, alcune potenzialmente molto gravi. Adobe già al lavoro sull'update

Roma – Due fra i più noti e diffusi software di Adobe , Acrobat e il gratuito Reader, contengono alcune vulnerabilità di sicurezza utilizzabili per mandare in crash l’applicazione o il browser Web e, nel caso peggiore, per compromettere la sicurezza di un sistema remoto.

FrSIRT, che ha classificato le vulnerabilità come critical , spiega in questo advisory che il controllo ActiveX AcroPDF.dll , utilizzato sia da Acrobat che da Adobe Reader, soffre di alcuni bug legati alla gestione della memoria. Un malintenzionato potrebbe sfruttare le debolezze creando una pagina web che, se aperta con Internet Explorer, esegue del codice dannoso.

Stando a quanto affermato da Adobe in questo advisory , gli utenti di browser diversi da IE non sono interessati dal problema . In realtà lo sono coloro che utilizzano browser basati sullo stesso motore di IE.

Adobe afferma di essere impegnata nello sviluppo di un aggiornamento che risolva quanto prima il problema. In attesa che venga rilasciata la patch, l’azienda suggerisce di cancellare il file AcroPDF.dll dalla cartella dei programmi vulnerabili: così facendo, però, non sarà più possibile aprire i documenti PDF direttamente all’interno di una finestra di IE.

I problemi riportati da FrSIRT interessano le versioni 7.0.x di Adobe Reader, Adobe Acrobat Standard, e Adobe Acrobat Professional.

La scorsa settimana sono state segnalate tre vulnerabilità di AcroPDF anche in questo advisory di Shinnai. L’esperto spiega che un cracker potrebbe sfruttare uno dei bug per mettere nella cartella temporanea di IE un file a sua scelta, anche eseguibile: sebbene questa falla, da sola, non sia particolarmente grave, potrebbe diventarlo in congiunzione con altre vulnerabilità. Le altre due debolezze possono causare in un caso il blocco del browser e nell’altro caso il crash di Adobe Reader.

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Anonimo scrive:
    Nuovi CVE
    http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4396http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4398http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4400http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4401mi sà che qualcosa è sfuggito a cupertino quando hanno fatto le pezze, 3 cve sono simili alle vulnerability risolte dall'ultmo security update.(apple)e vabbè.
    • FDG scrive:
      Re: Nuovi CVE
      - Scritto da:
      http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4396

      http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4398

      http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4400


      http://nvd.nist.gov/nvd.cfm?cvename=CVE-2006-4401

      mi sà che qualcosa è sfuggito a cupertino quando
      hanno fatto le pezze, 3 cve sono simili alle
      vulnerability risolte dall'ultmo security
      update.Minchia, ma leggetevi ste kaxxo di pagine che linkate ogni tanto. C'è tanto di link al sito di secunia con la patch che le risolve.Lo so che vi siete presi tante mazzate negli anni passati e ora vi volete sfogare con qualcuno. Però sarebbe l'ora che spegneste questo benedetto computer e v'andaste a fare una passeggiata. Funziona meglio.-----------------------------------------------------------Modificato dall' autore il 01 dicembre 2006 01.57-----------------------------------------------------------
      • Anonimo scrive:
        Re: Nuovi CVE
        - Scritto da: FDG
        Minchia, ma leggetevi ste kaxxo di pagine che
        linkate ogni tanto. C'è tanto di link al sito di
        secunia con la patch che le
        risolve.

        Lo so che vi siete presi tante mazzate negli anni
        passati e ora vi volete sfogare con qualcuno.
        Però sarebbe l'ora che spegneste questo benedetto
        computer e v'andaste a fare una passeggiata.
        Funziona
        meglio.

        Modificato dall' autore il 01 dicembre 2006 01.57
        Ok che stai rosicando, ma datti una calmata!Dai va, continua a rosicare.
  • Anonimo scrive:
    Che strano....
    ...niente Mac User che si posizionano a 90° per difendere la Mela marcia che ha passi da gigante sta raggiungedo i livelli di Microsozz!!!Condoglianze Mac Users, tra un pò entrete anche voi nel fantastico mondo del formatta, riavvia, pulizia di registro, antivirus e che più ne ha più ne metta.Cavolo....però mi dispiace....questa era una prerogativa dei Winari!!! ;) ;)
    • FDG scrive:
      Re: Che strano....
      - Scritto da:
      pulizia di registroquale registro?
      • Anonimo scrive:
        Re: Che strano....
        Eccolo qui, quello che continua a rosicare!! Sei parecchio arrabbiato,eh? Ti senti un pò fregato, visto che il tuo amato MAC non è poi così blindato come si vuol far credere!Dai va, continua a rosicare!
  • Anonimo scrive:
    APPLE COLLEZIONA FIGURACCIE
    La stagione natalizia è alle porte e apple fa felice i propri Utenti con una collezione di patch che fa impressione: tutti e dico tutti gli applicativi presentano un bacherozzolo, una falla, una tana a prova di pantegana!!!Si dice tanto di Microsoft, ma apple con OSX ha il suo colabrodo da rattoppare, con programmi fallati ed una gestione del mouse unix-like e quindi poco user friendly (percorro 100m con la mano, il puntatore si sposta di 1/2 centimetro, insopportabile).Bella lì Steve Blowjobs!!!(win)(win)(win)Linux intanto aspetta dei driver certificati per la 8800!!! (win)(win)(win)
    • Anonimo scrive:
      Re: APPLE COLLEZIONA FIGURACCIE
      - Scritto da:
      La stagione natalizia è alle porte e apple fa
      felice i propri Utenti con una collezione di
      patch che fa impressione: tutti e dico tutti gli
      applicativi presentano un bacherozzolo, una
      falla, una tana a prova di
      pantegana!!!Non ci sono più i troll di una volta... :(

      Si dice tanto di Microsoft, ma apple con OSX ha
      il suo colabrodo da rattoppare, con programmi
      fallati ed una gestione del mouse unix-like e
      quindi poco user friendly (percorro 100m con la
      mano, il puntatore si sposta di 1/2 centimetro,
      insopportabile).Bravo, hai scoperto proprio uno dei motivi per cui un Mac è meglio: il puntatore a velocità incrementale "vera".La distanza percorsa dal puntatore dipende dalla velocità della mano, non solo dalla distanza coperta e questo fa si che se muovo la mano lentamente ho una precisione micrometrica del puntatore, se la muovo velocemente mi bastano pochi cm. di movimento per coprire TUTTO lo schermo (o due schermi affiancati).Ma tu che non sai fare neanche il troll non puoi capirlo...
    • Anonimo scrive:
      Re: APPLE COLLEZIONA FIGURACCIE
      e togli la I da figuracce!!!!!
  • Anonimo scrive:
    La mela bacata
    cdo (troll2)
    • Anonimo scrive:
      Re: La mela bacata
      [img]http://static.blogo.it/melablog/appleworm_01.jpg[/img][img]http://static.blogo.it/melablog/appleworm_02.jpg[/img](geek)(geek)
  • Anonimo scrive:
    ...eseguire comandi...
    ....a sua scelta con i massimi privilegi.Chi è che la smenava che su mac è e sarebbe stato sempre impossibile avere massimi privilegi??
    • Anonimo scrive:
      Re: ...eseguire comandi...
      In ogni caso bisogna sempre loggarsi come root, e non è così immediato. Cmq almeno per adesso, abbiamo un sistema operativo che ci permette di naviagre senza antivirus, antispyware, anti gates. Cmq sono d'accordo che ora la differenza tra un pc e un mac è solo il sistema operativo, che cmq non è cosa da poco.
      • Anonimo scrive:
        Re: ...eseguire comandi...
        - Scritto da:
        In ogni caso bisogna sempre loggarsi come root, e
        non è così immediato.NO. Con questa falla da normale utente si riesce ad eseguire un comando o un programma con il massimo dei privilegi.
        • FDG scrive:
          Re: ...eseguire comandi...
          - Scritto da:
          NO. Con questa falla da normale utente si riesce
          ad eseguire un comando o un programma con il
          massimo dei privilegi.Se ti leggi i report scopri che non è così. Si tratta di buffer overflow sull'ATSUI (Apple Type Services for Unicode Imaging), quindi non un problema che da banalmente accesso ad una shell privilegiata. Si tratta di falle potenzialmente pericolose perché bisogna scoprire come sfruttarle opportunamente, una cosa non banale. Ad esempio, dovresti trovare un modo di realizzare un font che oltre a mandare in palla ATSUI sia in grado di far eseguire codice malevolo in modalità privilegiata.
          • Anonimo scrive:
            Re: ...eseguire comandi...
            "...eseguire comandi a sua scelta con i massimi privilegi".Punto! Basta a menarla!!
          • MeX scrive:
            Re: ...eseguire comandi...
            ...si è vero... bravo... ah ricordati di aggiornare l'antivirus stasera che sennò ti si riaprono quei pop-up porno...io intanto navigo senza noiosi antivirus... ah... che pacchia! (apple)-----------------------------------------------------------Modificato dall' autore il 30 novembre 2006 11.30-----------------------------------------------------------
          • Anonimo scrive:
            Re: ...eseguire comandi...
            Ciao genio, anche io navigo senza antivirus! Si chiama Linux...non so se conosci!!Dai va, non te la prendere!
          • MeX scrive:
            Re: ...eseguire comandi...
            perchè dovrei prendermela? siamo cugini!E poi se provi a guardare fuori dalla finestra vedrai che esiste un mondo... fatti un giro e rilassati! (rotfl)
          • Anonimo scrive:
            Re: ...eseguire comandi...
            Io sono rilassatissimo! Fuori c'è il sole e tu mi sembri un pò teso! ;)
          • Anonimo scrive:
            Re: ...eseguire comandi...
            - Scritto da:
            Io sono rilassatissimo! Fuori c'è il sole e tu mi
            sembri un pò
            teso!
            ;)Sembra un po' teso, perché lo stai guardando attraverso una finestra con i vetri sporchi, come quelli di winzozz Cirifischio
          • MeX scrive:
            Re: ...eseguire comandi...

            Dai va, non te la prendere!allora non ho colto la tua ironia... anche qui c'è il sole! fai abbronzare il pinguino (rotfl)
          • Anonimo scrive:
            Re: ...eseguire comandi...
            Certo, non ti preoccupare. Ma tu...okkio alle alle patch? ;)
          • MeX scrive:
            Re: ...eseguire comandi...
            oh tranquillo... devo premere un tasto e fa tutto lui... non devo cercare nei forum che repository aggiungere... buona giornata!
          • Anonimo scrive:
            Re: ...eseguire comandi...
            Se non sai nulla di Linux, perchè parli a vanvera?Ciao, e buona giornata anche a te.
          • MeX scrive:
            Re: ...eseguire comandi...

            Se non sai nulla di Linux, perchè parli a vanvera?perchè ti stai di nuovo scaldando? Io Linux l'ho usato... sennò come facevo a sapere dei repository? Avevo installato Ubuntu... ma i DVD non vanno, Flash funziona ma senza audio... ah... e non mi aprivano gli MP3... certo c'era modo di far funzionare il tutto... ma avevo di meglio da fare :) ... poi ho provato Freespire... ma avevo sempre problemi con i DVD...con Mac mi funziona tutto, non ho bisogno di antivirus e anche un pigro/ignorante come me può fare quello che vuole con la sua macchina... ha tra l'altro con Boot Camp ho creato una partizione al volo e ci ho installato vista... ed è stato semplice come accendere la luce della camera da letto :)
          • Anonimo scrive:
            Re: ...eseguire comandi...
            - Scritto da: MeX



            Se non sai nulla di Linux, perchè parli a
            vanvera?

            perchè ti stai di nuovo scaldando?A me non sembra di essermi scaldato, coomunque se ti ho dato questa impressione non se che farci.
            Io Linux l'ho usato... sennò come facevo a sapere dei
            repository? Avevo installato Ubuntu... ma i DVD non vanno,Avevi installato libdvdread e libdvdcss? Io su Mandriva 2007 non ho nessun problema, e anche un mio amico su Ubuntu.
            Flash funziona ma senza audio... ah...A me va benissimo, nessun problema di audio.
            e non mi aprivano gli MP3... Questo mi sempra impossibile! Con che lettore multimediale cercavi di aprirli?
            certo c'era modo di far funzionare il tutto...Si, bastava installare le cose necessarie. Con Mandriva circa 5 min. di tempo.
            ma avevo di meglio da
            fare :) ... poi ho provato Freespire... ma avevo
            sempre problemi con i
            DVD...Come sopra.
            con Mac mi funziona tutto, non ho bisogno di
            antivirus e anche un pigro/ignorante come me può
            fare quello che vuole con la sua macchina... ha
            tra l'altro con Boot Camp ho creato una
            partizione al volo e ci ho installato vista...
            ed è stato semplice come accendere la luce della
            camera da letto
            :)Buon per te. Chi ti dice nulla. Non sto cercando di convincerti a cambiare SO, ho solo fatto notare che anche Mac ha i suoi problemi di sicurezza (ovviamente sempre poca cosa rispetto a Windows), tutto qui.
          • MeX scrive:
            Re: ...eseguire comandi...
            guarda... non metto in dubbio che potevo riuscire a farlo funzionare... il punto è che linux una volta installato... non funziona come dovrebbe... ti parlo del mondo desktop... se devo usare un personal computer... voglio che funzioni senza il minimo sforzo...non è che se compri una TV devi sapere come funziona un sintonizzatore per sintonizzare i canali... lo fa da sola...Linux è ottimo per postazioni server e applicazioni come software dedicati per apparecchiature HW... come autoradio, domotica... ma per il desktop... per me (inteso non "secondo me" ma per come sono fatto io) non è adatto...Spero di essermi chiarito!Ciao ciao!
          • Anonimo scrive:
            Re: ...eseguire comandi...
            Sicuro, sei stato molto chiaro e capisco il tuo punto di vista.Adesso una domanda che esula un pò dall'argomento....perchè hanno reso OT i messaggi precedenti?? :o :)
          • MeX scrive:
            Re: ...eseguire comandi...
            - Scritto da:
            Sicuro, sei stato molto chiaro e capisco il tuo
            punto di
            vista.

            Adesso una domanda che esula un pò
            dall'argomento....perchè hanno reso OT i messaggi
            precedenti??

            :o :)be parlavamo di linux e apple... ma non delle falle di apple :) sarà per quello...
          • Anonimo scrive:
            Re: ...eseguire comandi...
            Bhe dai...che precisi!!! :DCiao.
          • Anonimo scrive:
            Re: ...eseguire comandi...
            - Scritto da:
            "...eseguire comandi a sua scelta con i massimi
            privilegi".
            Punto! Basta a menarla!!Ah sì? E chi lo dice? Quel tizio che ha scoperto il bug? E voi ci credete? Se è così facile, perché non ha postato almeno un "proof of concept"? Tanto per chiarire:trovare un bug per far andare in crash un serivzio, o anche il kernel, non è così difficile; ma trovare il modo di eseguire codice con escalation di privilegi è molto, molto più complicato.Ed è appena il caso di aggiungere che il mondo Mac fa gola a tutti i produttori di sistemi di security, trattandosi di un mercato vergine di circa 30 milioni di macchine (alla faccia della nicchia). Vi sembra così strano che le aziende produttrici paghino sedicenti bug hunter per raccontare balle allo scopo di convincere gli utonti a installare i loro inutili e costosissimi "sistemi di sicurezza"?La verità è che se una falla di Os X può davvero portare al controllo del sistema da remoto, viene chiusa nel giro di 48 ore (e non 6 mesi, come succede spesso nel mondo Windows). Altrimenti, si aspetta l'aggiornamento automatico mensile.
          • Anonimo scrive:
            Re: ...eseguire comandi...
            - Scritto da:
            ma trovare il modo di eseguire
            codice con escalation di privilegi è molto, molto
            più
            complicato.è talmente complicato che con queste falle si poteva proprio farlo. Rassegnati, ogni OS ha le sue falle (rotfl)
          • FDG scrive:
            Re: ...eseguire comandi...
            - Scritto da:
            è talmente complicato che con queste falle si
            poteva proprio farlo.Come? Sono proprio curioso di leggere le kaxxate che ti riesci ad inventare.
          • FDG scrive:
            Re: ...eseguire comandi...
            - Scritto da:
            "...eseguire comandi a sua scelta con i massimi
            privilegi".
            Punto! Basta a menarla!!Ok, fallo.Se non sei in grado sei solo un... kaxxone!p.s.: un kaxxone di troll.
          • Anonimo scrive:
            Re: ...eseguire comandi...
            Se non sono in grado io, non vuol dire che tutti non sono in grado.Continua a rosicare!!
          • FDG scrive:
            Re: ...eseguire comandi...
            - Scritto da:
            Se non sono in grado io, non vuol dire che tutti
            non sono in grado.Ok, proprio la mia tesi. Per farlo bisogna essere bravi e scoprire come perché non è una cosa banale.Quindi sei un kaxxone.p.s.: non darti la pena di rispondermi perché oltre ad esser kaxxone sei pure troll.-----------------------------------------------------------Modificato dall' autore il 01 dicembre 2006 11.24-----------------------------------------------------------
      • Anonimo scrive:
        Re: ...eseguire comandi...
        - Scritto da:
        In ogni caso bisogna sempre loggarsi come root, e
        non è così immediato. Cmq almeno per adesso,
        abbiamo un sistema operativo che ci permette di
        naviagre senza antivirus, antispyware, anti
        gates. Cmq sono d'accordo che ora la differenza
        tra un pc e un mac è solo il sistema operativo,
        che cmq non è cosa da
        poco.sono anche molto piu' belli
Chiudi i commenti