.:: Securnetwork.net Blog - Massimo Rabbi ::.

Mozilla alza la posta: 3000$ per un bug!

Massimo Rabbi — Sun, 18 Jul 2010 20:11:08 +0000

A quanto pare Mozilla ha alzato il premio messo in palio per coloro che individuano una vulnerabilità di sicurezza nei prodotti di punta della software house open-source: Firefox e Thunderbird.

La nuova cifra è infatti di ben 3000$, un grosso salto se si considerano i “soli” 500$ che fin dal 2004 venivano pagati per i vari bug scoperti.

Nel programma di bug-hunting di Mozilla sono stati aggiunti due nuovi prodotti: Mozilla Services e Firefox Mobile.

Lucas Adamski, security engineer director di Mozilla, ha scritto sul blog del gruppo riguardo la nuova “taglia” e indicato quelle che sono le regole fondamentali per aggiudicarsela:

il bug deve essere originale e mai stato pubblicato prima;
il bug deve essere di tipo remote exploit;
il bug deve essere individuato in una delle ultime versioni ufficiali, beta o release candidate dei vari Firefox, Firefox Mobile, Thunderbird o Mozilla Services;
il bug non deve essere causato o individuato in plugin/estensioni di terze parti.

Random Walker for Content-Based Image Retrieval with Relevance Feedback

Massimo Rabbi — Sat, 19 Jun 2010 18:36:31 +0000

La presentazione tenuta in occasione della discussione di tesi di laurea specialistica in informatica.

Tesi specialistica Informatica

View more presentations from mrabbi.

La presentazione tenuta durante il corso di Visione Artificiale di Samuel Rota Bulò, mio correlatore.

Content-based Image Retrieval con Relevance Feedback

View more presentations from mrabbi.

Coming back soon…

Massimo Rabbi — Wed, 19 May 2010 20:28:32 +0000

Il blog non è morto!
In questi ultimi mesi un sacco di cose sono successe:
- studio forsennato per gli ultimi esami
- full-immersion per concludere la tesi specialistica e submission di un paper
- laurea il 16 aprile 2010
- cambio di lavoro dal 1 aprile
- varie ed eventuali
Tutto questo per dire che a breve tornerò a postare.

Stay tuned!

Johnny Depp is NOT dead! Occhio al malware!

Massimo Rabbi — Mon, 25 Jan 2010 15:07:33 +0000

A quanto pare la frenesia scatenata dalla morte di una celebre star è un buon modo per diffondere il malware.
E i vari cyber-criminali del pianeta lo sanno bene.
Questa volta nel mirino è finito il capitano Jack Sparrow o meglio l’attore Johnny Depp che stando alle indiscrezioni sarebbe morto in un incidente d’auto. “Peccato” che la pagina web che riporta la notizia sia falsa, una simil-CNN.
Tuttavia sembra che il rumor si sia diffuso in fretta e su Twitter non si sia parlato d’altro.

Ecco qua un video di Sophos che mostra come viene attuato l’inganno e installato il malware. Maggiori informazioni sull’accaduto sempre sul blog di Sophos.

Altro “buon” esempio di social engineering!

Virtual DOS Mode e il bug di Windows di 17 anni fa

Massimo Rabbi — Fri, 22 Jan 2010 16:41:11 +0000

Un bug vecchio di 17 anni? Possibile.
A quanto pare non c’è modo di dormire sonni tranquilli per Microsoft.
Dopo i recenti problemi con Internet Explorer e la patch rilasciata al di fuori della road-map classica dei Patch Tuesday, ecco un’altra bella gatta da pelare.

Escalation di privilegi grazi ad una serie di vulnerabilità nella Virtual DOS Mode (VDM).
Il parco dei sistemi interessati è quello dei sistemi 32-bit, sembra da Windows NT 3.1 a Windows 7.

Provato e testato personalmente su Windows XP SP3 completamente patchato.
Ho realizzato un piccolo video giusto per far capire uno dei più classici motivi per cui un exploit simile puo’ risultare utile.

Amministratori di rete… disabilitate!!!

LinkedIn e la lunghezza delle password

Massimo Rabbi — Sun, 03 Jan 2010 12:51:04 +0000

LinkedIn, come molti di voi sapranno, è un social network molto diffuso che consente di costruire la propria rete di contatti in ambito lavorativo (fondamentalmente).
Quello di cui voglio parlare oggi è un piccolo problema che ho riscontrato in mattinata mentre mi apprestavo a cambiare la password del mio account.
Dopo aver generato la nuova password di lunghezza 24 caratteri ho effettuato il logout e poi ho tentato il login che verificare tutto fosse avvenuto correttamente.

Stranamente ho notato l’errore:

The email address or password you provided does not match our records

Dopo i classici tentativi di reinserire la password e cancellazione di cache e cookie, ho pensato ci fosse qualcosa non andasse.

La prima supposizione è stata che per qualche motivo il sistema avesse accettato i caratteri speciali della password ma fosse andato storto qualcosa nella fase di salvataggio.
Ho proceduto quindi alla procedura di recupero password e inserito una nuova password di 24 caratteri senza caratteri speciali.

Tuttavia al tentativo di login ancora una volta lo stesso errore.
Dopo una rapida ricerca su Google ho trovato questo interessante post a riguardo: “LinkedIn Password Length Confusion“.
Il problema sembra sia che la password del proprio account deve avere una dimensione minima di 6 caratteri e massima di 16.
Il sistema ha infatti troncato la mia password di 24 (caratteri speciali o no non fa alcuna differenza), tant’è che provando a prendere i primi 16 si riesce ad effettuare correttamente il login.

La cosa alquanto strana è che da nessuna parte venga riportato che i caratteri non possono superare i 16, né tanto meno viene notificato che il campo sta superando la lunghezza consentita in fase di modifica.
Nella home page la maschera di registrazione, ad esempio, sotto il campo password riporta il messaggio:

6 or more characters

Lo stesso autore del post che ho trovato, è venuto a conoscenza del motivo solo dopo aver inviato una mail al supporto tecnico.
Occhio dunque alla lunghezza della password scelta

Ubuntu 9.04 e stampante multifunzione Brother MFC-465CN

Massimo Rabbi — Thu, 10 Dec 2009 13:22:27 +0000

Quest’oggi mi è capitato per necessità di dover installare sul desktop di casa che monta una Ubuntu 9.04 (codename Jaunty Jackalope), la mia stampante multifunzione Brother MFC-465CN.
Questa volta a differenza di quanto successo con la Canon Pixma IP4200 che una volta collegata alla porta usb era stata riconosciuta al volo dopo la ricerca driver e pochi click, ho dovuto procedere con l’installazione a mano dei vari .deb necessari visto che non era inclusa nella lista di quelle proposte dal sistema.

Vedremo quindi quali sono i passaggi da effettuare per poter utilizzare le funzionalità di stampante e scanner della nostra multifunzione.

colleghiamo la multifunzione via usb al PC e annulliamo l’eventuale ricerca driver, tanto dobbiamo installarli noi a mano;
scarichiamo dal sito di Brother i relativi pacchetti .deb che ci interessano;
sezione “Download->Printer Driver”: preleviamo i .deb per LPR driver e cupswrapper driver della nostra MFC-465CN;
sezione “Download->Scanner Driver / Scan-Key-Tool”: preleviamo i .deb per brscan2 e scan-key-tool (32/64bit);
installare prima il pacchetto mfc465cnlpr-1.0.1-1.i386.deb e poi il pacchetto mfc465cncupswrapper-1.0.1-1.i386.deb per la funzionalità stampante;
installare prima il pacchetto brscan2-0.2.4-4.i386.deb e poi il pacchetto brscan-skey-0.2.1-3.i386.deb per la funzionalità scanner.

Una piccola nota per quanto riguarda il driver cupswrapper di stampa.
Quasi sicuramente, nonostante il sistema vi dica che il pacchetto è stato installato correttamente, potreste riscontrare un problema analogo a quello evidenziato nello screenshot sottostante.

Per risolvere date semplicemente questo comando:
sudo mkdir /usr/share/cups/model
Fatto questo reinstallato il pacchetto e tutto dovrebbe filare liscio.

Futura premura sarà verificare il funzionamento della funzionalità PC-Fax visto che sul sito sono presenti i driver, oltre a testare la stampa via rete dato che la stampante la supporta essendo dotata di apposita interfaccia.

Pidgin + Facebook chat + Ubuntu 9.04 how-to

Massimo Rabbi — Sat, 28 Nov 2009 13:04:25 +0000

Sull’argomento “chat di facebook” si potrebbero scrivere post a bizzeffe, discutendo di quanto faccia schifo, di come si perda i messaggi e quant’altro.
Quello che mi interessa oggi è puntare l’attenzione sul come integrare nel noto cliente IM Pidgin (ex GAIM), la chat del noto social-network, evitando di tenere aperta la pagina web per l’eventuale chat con i nostri contatti.

Le considerazioni di questo post riguardano l’attuale versione di Ubuntu 9.04 (Jaunty Jackalope) installata sul mio pc desktop, ma penso possano essere applicate tranquillamente alla più recente 9.10.
In particolare quello che ci serve è prelevare direttamente dal sito del progetto pidgin-facebookchat l’ultima versione, nel mio caso la 1.63.
E’ necessario inoltre procurarsi il .deb della libreria libjson-glib-1.0-0: pidgin-facebookchat infatti richiede una versione >= 0.7.6.
Quest’ultimo è disponibile direttamente da qui:
- http://mirrors.kernel.org/ubuntu/pool/main/j/json-glib/libjson-glib-1.0-0_0.7.6-0ubuntu1_i386.deb
- http://mirrors.kernel.org/ubuntu/pool/main/j/json-glib/libjson-glib-1.0-0_0.7.6-0ubuntu1_amd64.deb

Una volta installati entrambi i .deb e creato l’apposito account da Pidgin sarà possibile sfruttare la chat dal nostro programma di instant messaging preferito.
Le versioni di pidgin-facebookchat e libjson-glib-1.0-0 disponibile sui repository ufficiali e accessibili ad esempio da “Sistema->Amministrazione->Gestore pacchetti” sono datati.
Personalmente tempo addietro ho avuto modo di provarli e ho notato parecchi problemi.
Buona chat dunque!

Rilasciato PHP 5.3.1

Massimo Rabbi — Sat, 21 Nov 2009 10:19:00 +0000

Dopo quasi 5 mesi dal rilascio della versione PHP 5.3.0 arriva dagli sviluppatori il primo aggiornamento per il branch 5.3 del popolare linguaggio di programmazione.
La nuova release PHP 5.3.1 è incentrata principalmente sulla stabilità apportando ben 100 bug fix, alcuni dei quali legati alla sicurezza.

L’ultima release vede anche l’aggiunta della direttiva INI “max_file_uploads“, che consente di limitare il numero di uploads di file per ogni richiesta: 20 è l’impostazione di default.
Questa soluzione consente di evitare potenziali tentativi di attacchi DoS (Denial of Service).
Aggiunti inoltre alcuni sanity check nella fase di processing di informazioni Exif (exchangeable image file format).

Ulteriori dettagli possono essere consultati leggendo le release notes e il change log.
Disponibile sul sito anche una migration guide per gli utenti che effettuano l’upgrade dalla versione PHP 5.2.
PHP è rilasciato attualmente sotto la licenza PHP Licence 3.01.

Vulnerabilità nella toolbar Wikipedia per Firefox

Massimo Rabbi — Wed, 18 Nov 2009 08:38:02 +0000

Il security provider Secunia ha individuato nei giorni scorsi una vulnerabilità piuttosto critica nell’estensione Wikipedia Toolbar per Firefox, che può essere usata da un potenziale attaccante per compromettere il sistema dell’utente vittima.

Il problema è stato individuato nella mancata validazione dell’input da parte dell’applicazione in una chiamata alla funzione eval(): ciò può consentire l’eventuale esecuzione di codice Javascript arbitrario.

Una volta lanciato il codice viene eseguito con i privilegi di sistema e questo consente l’accesso alle risorse della macchina bersaglio. Affinché l’attacco avvenga con successo è necessario che l’utente visiti una pagina web “contraffatta” e che sia “ingannato” e portato a cliccare su determinati pulsanti della toolbar.

Secunia ha individuato il bug nella versione 0.5.9, ma potenzialmente altre versioni potrebbero essere affette dal problema.
L’ultima versione rilasciata ovvero la 0.5.9.2 risolve il problema ma non è ancora stabile, ma taggata come “experimental“.

Mondiali WTKA 2009 – Free Fighting Academy Campione del mondo!

Massimo Rabbi — Wed, 11 Nov 2009 11:44:17 +0000

Si sono conclusi domenica 8 novembre i mondiali di kickboxing WTKA 2009 in quel di Marina di Carrara (MS).
Anche quest’anno la Free Fighting Academy è riuscita a portare a casa ben 5 ori e 2 argenti in differenti categorie di semi-contact, light-contact e point-fight.
Quest’anno il gruppetto rispetto agli anni scorsi era più ridotto: io, Stefano Bovo e Rango Marco a difendere i colori della palestra.
Direi che tutto sommato è andata più che bene
E anche questa volta nel mio piccolo ho dato il mio contributo portando a casa l’argento nella categoria +91kg light contact.

Una foto del team al completo: da sx verso dx Massimo Rabbi, Rango Marco, Alessandro Zuritti, Maestro Andrea Speciale, Stefano Bovo.

WordPress 2.8.5: obiettivo sicurezza

Massimo Rabbi — Sat, 24 Oct 2009 12:22:34 +0000

La nuova versione di WordPress, la 2.8.5, rilasciata nei giorni scorsi promette maggiore sicurezza.
Descritta dal team di sviluppo come una “hardening release“, include un buon numero di funzioni retro-portate dalla versione 2.9 beta che dovrebbero rendere la piattaforma di blogging più resistente agli attacchi.

Peter Westwood, sviluppatore del progetto, ha evidenziato che tra questi fix sono presenti quello legato al problema di attacchi DoS al sistema di Trackback e la cancellazione di porzioni di codice che permettevano l’esecuzione di script PHP in variabili attraverso l’uso della funzione eval().

Gli amministratori inoltre non saranno più in grado di effettuare l’upload di files arbitrari nella media library: ricordiamo che la white list di estensioni consentite finora era applicata solo agli utenti normali.
Lo scopo è rendere più difficile ad un eventuale attaccante che abbia compromesso un account amministrativo, di effettuare l’upload e l’esecuzione di codice PHP.

Il team raccomanda altresì di installare il plugin “WordPress Exploit Scanner” che consente di rilevare potenziali tracce di intrusione sui propri siti/blog.
Il plugin infatti cerca nei file e nel database (post, commenti, tag etc.) la presenza di potenziale codice malevole, tenendo di fatto sotto controllo anche la lista dei plugin attivi.
Come lo stesso sviluppatore dell’estensione Donncha O Caoimh tiene a sottolineare, questo plugin non previene in alcun modo eventuali attacchi.

Asus pubblica i sorgenti di Linux per Eee PC Seashell

Massimo Rabbi — Sat, 17 Oct 2009 09:56:21 +0000

ASUS ha pubblicato nei giorni scorsi i sorgenti Linux per la propria linea di netbook Seashell.
Fino ad ora infatti i netbook Asus sono stati messi in vendita anche in versioni che montavano Linux come sistema operativo pre-installato: tipicamente il prezzo di vendita al pubblico era inferiore rispetto allo stesso modello con Windows XP Home.

Con il rilascio dei modelli 1008HA e 1005HA (linea Seashell appunto) le uniche versioni disponibili sul mercato prevedevano Windows XP come OS installato.
Non era infatti prevista una versione che montasse il sistema operativo open source, anche se dopo questa mossa di ASUS molti sono propensi a credere che presto arriveranno i modelli basati su sistema Moblin.
La versione finale di Moblin 2.0 è stata rilasciata a fine settembre e stando agli sviluppatori, è stata testata sia su 1008HA che 1005HA.
In ogni caso Asus non ha ancora fatto dichiarazioni ufficiali a riguardo.

Il codice sorgente Linux disponibile è disponibile per le versioni 1008HA e 1005HA e consiste di circa 2.2GB, divisi in 5 parti che possono essere scaricate direttamente dal sito “Support Asus“.
I sorgenti rilasciati sarebbero conformi ai requisiti della licenza GPL, visto che viene fornito anche il codice che include le patches applicate dal produttore.

Il problema più grosso è che nonostante il codice sorgente sia completo, mancano degli script o dei file di configurazione che aiutino l’utente nel processo di compilare un sistema operativo completamente funzionante.

DotNetRomacesta – Gladiatori Fest

Massimo Rabbi — Sat, 10 Oct 2009 11:40:34 +0000

Su segnalazione dell’amico Emanuele Mattei pubblico molto volentieri una news riguardante l’evento Gladiatori Fest che si terrà mercoledi’ 21 ottobre 2009 a Roma presso l’Auditorium Sap Italia.
Tutte le informazioni circa l’evento si possono trovare a questo indirizzo: http://www.dotnetromacesta.org/EventoGladiatori.aspx

Di seguito l’estratto della descrizione del meeting:

Il primo evento gratuito dell’User Group DotNetRomaCestà, sulla tecnologia .Net, in cui saranno illustrati alcune tecniche di programmazione. Le varie sessioni di questo evento, della durata di un giorno, sono di livelli diversi da sessione a sessione, permettendo a chiunque di partecipare in base alle proprie conoscenze. Nel corso dell’evento, si affronteranno argomenti avanzati come MVC ed utilizzo del database Sql Server 2008, altre sessioni riguarderanno il nuovo ambiente di Sviluppo Visual Studio 2010, come il nuovo controllo Chart della tecnologia Asp.Net 4.0 e l’utilizzo delle api di Bing.
L’evento è completamente gratuito, per tanto non è disponibile un servizio di catering. Nelle vicinanze della struttura sono presenti bar e tavole calde, dove si potranno gustare buoni pasti
Durante l’evento verranno estratti dei numeri assegnati ai partecipanti in fase di registrazione, che permetteranno di ricevere alcuni “premi”, in particolare alcune copie dei libri, e licenze di Kaspersky.

Mega Patch-Tuesday ad ottobre per Microsoft

Massimo Rabbi — Sat, 10 Oct 2009 11:30:17 +0000

Nel prossimo Patch Tuesday del 13 ottobre, Microsoft si appresta a pubblicare 13 bullettin che coprono ben 34 vulnerabilità di sicurezza riguardanti molti prodotti.
Ben otto dei tredici bullettin sono stati classificati come “critical”, il livello più alto di rischio attribuito da Microsoft.

L’importanza di questo Patch Tuesday sta nelle correzioni di due bug molto seri riguardanti un bug in SMBv2 e un altro nella funzionalità FTP di IIS.
I prodotti interessati dagli aggiornamenti sono Microsoft Windows, Internet Explorer, Microsoft Office, Silverlight, Microsoft Forefront, Developer Tools, e SQL Server.

Ancora nessuna novità riguardo il pericoloso bug nelle CryptoAPI che lascia il “fianco scoperto” ad attacchi al protocollo SSL, compromettendo la sicurezza di browser e altri software che su di esse si appoggiano.

Netgear RangeMax WNR3500L: wireless 802.11n e Linux

Massimo Rabbi — Tue, 06 Oct 2009 14:53:19 +0000

Netgear ha annunciato il rilascio del proprio router WNR3500L che oltre al supporto per wireless-N monta anche un firmware Linux-based.
Il dispositivo è dotato di una porta Gigabit Ethernet e una USB 2.0 che consente di collegare un hard disk esterno o un modem USB 3G.
Questo nuovo modello monta un processore MIPS 480Mhz, 8MB di memoria flash e 64MB di RAM.

Il Netgear RangeMax WNR3500L supporta una vasta gamma di firmware open source, dai DD-WRT e OpenWrt al HyperWRT-based Tomato.
Le versioni compatibili del firmware sono disponibili per il download nell’apposita sezione della community myopenrouter.com.
Il firmware originale del device è basato su kernel Linux 2.4.20 e i sorgenti sono disponibili online.

Per ulteriori dettagli si rimanda alla visione della pagina web del prodotto e del relativo datasheet.
Stando alle dichiarazioni di Netgear il router dovrebbe essere disponibile a breve (autunno 2009, ormai ci siamo!).
Il prezzo sul mercato per quanto riguarda gli Stati Uniti dovrebbe aggirarsi sui 139.99$.

Avira AntiVir problemi di aggiornamento

Massimo Rabbi — Thu, 01 Oct 2009 16:06:36 +0000

Un aggiornamento di grosse dimensioni per gli utenti dei prodotti anti-virus Avira AntiVir ha causato problemi agli utenti della versione free Avira Antivir Personal.
Tentando di scaricare gli aggiornamenti delle ultime firme hanno riscontrato comportamenti anomali tra cui l’errata risposta da parte del programma che indicava che nessun update era disponibile.
Il problema è stato causato da un sovraccarico dei server Avira.

Dirk Knop, technical editor Avira, ha dichiarato che gli utenti dei prodotti Avira AntiVir Premium, Avira Premium Security Suite e Professional non hanno riscontrato alcun inconveniente visto che per le versioni a pagamento sono previsti server e banda dedicati.
I problemi (riscontrati ieri) sembrano al momento risolti e anche gli utenti della versione free dovrebbero essere in grado di aggiornare correttamente.
L’azienda ha dichiarato che nel giro di due settimane renderanno disponibile un sistema più performante in grado di far fronte alle elevate richieste di update quotidiane da parte delle versioni free.

Aggiornamento di sicurezza per Google Chrome 3

Massimo Rabbi — Thu, 01 Oct 2009 09:46:19 +0000

Google ha rilasciato un update di sicurezza per la versione 3 di Chrome. La nuova versione del browser WebKit-based è la 3.0.195.24.
Il bug corretto riguarda l’implementazione della funzione dtoa() utilizzata dal motore JavaScript V8 di Chrome per parsare le stringhe in numeri floating point.

La vulnerabilità contenuta nella Chrome sandbox può essere sfruttata da un ipotetico attaccante per eseguire codice arbitrario.
Affinchè l’attacco avvenga con successo è sufficiente che l’utente visita una pagina web appositamente modificata.
Per effettuare l’aggiornamento gli utenti possono utilizzare la funzionalità built-in di update accedendovi dai menu “Tools->About Google Chrome” e cliccando sul pulsante “Update”

Fonte: Google closes vulnerability in Chrome 3

Avviare Linux da Internet via boot.kernel.org

Massimo Rabbi — Wed, 23 Sep 2009 21:54:29 +0000

Il sito boot.kernel.org (BKO) offre la possibilità di effettuare il boot via Internet del sistema operativo Linux.
Ancora in fase iniziale il progetto consente di provare un numero ridotto di versioni Linux sfruttando il protocollo HTTP, una connessione Internet a banda larga e il boot loader open source gPXE.
Quest’ultimo può essere utilizzato via drive USB, CD o floppy disk.

La versione corrente di BKO può avviare Debian Live, Ubuntu 9.04, Damn Small Linux, Knoppix 5.0.1 o Fedora 11 LiveCD, quest’ultima in sola versione single user mode.
E’ possibile far partire anche una serie di tools di diagnostica e ripristino.
BKO utilizza httpfs e non supporta per il momento la modalità proxy. Per migliorarne le performance in fase di start-up, gli sviluppatori stanno pensando di implementare il boot iSCSI nella prossima versione.

Una proposta analoga e alternativa è costituita dal servizio netboot.me: anch’esso fornisce il boot via Internet mediante il boot loader gPXE.

Ubuntu 10.04 si chiamerà Lucid Lynx

Massimo Rabbi — Sun, 20 Sep 2009 20:47:10 +0000

All’Atlanta Linux Fest, Mark Shuttleworth ha annunciato che la prossima major release, dopo la 9.10 Karmic Koala, si chiamerà Lucid Lynx.
Ubuntu 10.04 sarà inoltre una versione Long Term Support (LTS).

L’ultima release LTS di Ubuntu è stata la 8.04, nome in codice Hardy Heron, rilasciata ad aprile 2008 e che sarà supportata fino ad aprile 2011.
Ubuntu Linux 10.04 è prevista per aprile 2010, mentre per quanto riguarda la 9.10 (attualmente in alpha) si parla di fine ottobre.

Aggiornamento per PHP alla versione 5.2.11

Massimo Rabbi — Sun, 20 Sep 2009 19:50:24 +0000

Gli sviluppatori del linguaggio di programmazione PHP hanno rilasciato un update che porta l’ultima release alla versione 5.2.11.
L’aggiornamento si focalizza sulla stabilità apportando più di 75 bug fix, alcuni legati alla sicurezza.

Il team di sviluppo ha fixato la validazione certificati in php_openssl_apply_verification_policy e aggiunto dei sanity check in imagecolortransparent() e nel codice di processing dei file EXIF (Exchangeable Image File Format).
I dettagli completi sono visibili alla pagina delle Release notes.

Rilasciato Google Chrome 3.0

Massimo Rabbi — Wed, 16 Sep 2009 16:21:22 +0000

A poco più di un anno dal lancio di Google Chrome, era il 2 settembre 2008, il gigante di Mountain View ha annunciato il rilascio della versione 3 contenente numerosi bug fixes, miglioramenti e nuove funzionalità.

Secondo un post pubblicato sul blog ufficiale di Google, le performance Javascript sono state migliorate del 150% rispetto alla prima beta e di ben il 25% rispetto all’ultima stable release: tutto questo grazie agli aggiornamenti al motore Javascript V8.

La release include una nuova pagina “New Tab” riprogettata per essere personalizzabile secondo le preferenze dell’utente e customizzabili nel look-and-feel mediante il supporto built-in per i temi.
La barra degli indirizzi “Omnibox” utilizza ora icone diverse per distinguere azioni come la ricerca, bookmarks e pagine precedentemente visitate.
Il nuovo Google Chrome 3.0 inoltre introduce nuove caratteristiche HTML 5, gli elementi e .

Questa ultima release inoltre corregge un problema di sicurezza riguardante i contenuti dei feed RSS o Atom, onde prevenire i tentativi di injection di codice Javascript e attacchi cross-site scripting (XSS).
La versione è disponibile in 50 lingue differenti per i sistemi operativi Windows XP e Vista.

Ancora da rilasciare invece una versione stabile per Chrome su sistemi Linux e Mac OS X.
L’ultima versione rilasciata circa una settimana fa attraverso il Developer Channel è la 4.0.207.0, e corregge alcuni bug oltre a fixare un problema di XSS.

Disponibile iPhone OS 3.1

Massimo Rabbi — Fri, 11 Sep 2009 08:36:12 +0000

Apple ha rilasciato la nuova versione del proprio sistema operativo per iPhone e iPod touch: disponibili infatti iPhone OS 3.1 e iPhone OS 3.1.1 rispettivamente.
L’aggiornamento è piuttosto corposo, all’incirca 300MB, e porta con sé numerosi miglioramenti, funzionalità e soprattutto bug fixing legati alla sicurezza.

La nuova versione migliora le informazioni per l’utente in fase di installazione applicazioni che facciano affidamento su altre già presenti nel dispositivo. Migliorate le performace Wi-Fi con Bluetooth attivo. Safari Mobile ha ora una nuova funzionalità anti-phishing.

La maggioranza degli aggiornamenti di sicurezza sono legati a errori in WebKit che consente l’injection e esecuzione di codice malevole nel dispositivo quando un utente visita determinati siti.
Incluso nel pacchetto anche l’aggiornamento riguardante il famoso bug degli SMS già corretto nella release 3.0.1 di inizio agosto.

Gli utenti iPod touch che non hanno ancora aggiornato alla versione iPhone OS 3.x, possono farlo ora comprando l’update su iTunes Store a 4.95$.

Firefox 4.0 non prima della fine 2010

Massimo Rabbi — Thu, 10 Sep 2009 11:51:12 +0000

Stando alla roadmap pubblicata sul wiki di Mozilla la nuova major release del noto browser open source Firefox non vedrà la luce prima dell’ultimo trimestre del 2010.

Sembra infatti che la versione Firefox 4.0 sarà rilasciata ad ottobre o novembre del prossimo anno.

Nel frattempo compariranno le minor release 3.6 e 3.7 previste rispettivamente per la fine di quest’anno e l’inizio/metà del prossimo.

Già all’inizio di questa estate erano stati annunciati alcuni dei cambiamenti all’interfaccia di Firefox che interverranno in occasione della major release.

Accolti con favore anche i rumor di rendere il browser più Chrome-like con la separazione dei processi di UI e gestione dei contenuti Web.

Sempre da Google Chrome dovrebbe essere ripresa l’idea un processo per ogni tab onde evitare fastidiosi crash e perdite di sessioni, rendendo così più stabile la navigazione.

Con tutta probabilità Mozilla sceglierà di rilasciare Firefox 3.6 in un periodo concomitante l’uscita del nuovo Microsoft Windows 7, prevista il 22 ottobre prossimo.

La versione codenamed Namoroka e basata su Gecko 1.9.2 porterà con sé alcuni miglioramenti tra cui una migliore browser-interaction, temi più leggeri, migliorie al motore Javascript TraceMonkey e un restore delle sessioni più affidabile.

Adobe e Oracle ritardano i loro patch days

Massimo Rabbi — Mon, 07 Sep 2009 17:27:46 +0000

Sia Adobe che Oracle hanno confermato il ritardo per i rispettivi patch days pianificati in ottobre.
Per Oracle la scelta è legata alla conferenza “OpenWorld 2009 Oracle” che si svolgerà tra l’11 e il 15 ottobre e che tipicamente attrae un gran numero di utilizzatori, amministratori e sviluppatori Oracle.
Questo onde evitare che gli interessati (in particolar modo gli amministratori) si trovino a scegliere tra aggiornare i sistemi e seguire i talk.
La data schedulata per il Critical Patch Update (CPU) trimestrale slitterà dal 13 al 20 ottobre.
I CPUs successivi sono invece previsti regolarmente per il 12 gennaio 2010, 13 aprile 2010 e 13 luglio 2010.

Adobe ha annunciato che la data prevista per i prossimi aggiornamenti per Adobe Acrobat e Reader sono previsti per il 13 ottobre.
Il vendor ha chiamato in causa le vulnerabilità scoperte di recente nella Microsoft Active Template Library (ATL), che affliggono numero prodotti.
Tutto ciò comporterà appunto un ritardo nel ciclo di patch trimestrale introdotto in primavera, visto che il fix su questi bug ha la priorità su quelli scoperti internamente.

RIFERIMENTI:
- Adobe and Oracle delay their patch days, by Heise Security

Summer Breeze Open Air 2009

Massimo Rabbi — Mon, 10 Aug 2009 11:12:30 +0000

Domani si parte. Destinazione: Summer Breeze Open Air 2009!

IDPhotoStudio: stampa le tue fototessere in casa

Massimo Rabbi — Mon, 03 Aug 2009 20:58:53 +0000

Alzi la mano a chi non è mai capitato di dover stampare un paio di fototessere proprie, di parenti e/o amici.
Quello che capita spesso è di avere in casa una sola fototessera ma magari ne servono 3 o 4 per un documento da richiedere.

Che fare allora? Recarsi dal fotografo e farne di nuove oppure pensarci da soli col semplice aiuto di uno scanner, stampante e un foglio di carta fotografica?
Se aggiungiamo a questo IDPhotoStudio il gioco è fatto!

Il software è gratuito e localizzato anche in italiano: consente di scegliere la foto e il suo formato (disponibili le dimensioni preimpostate per le varie nazionalità) oltre a consentire di impostare il numero di fotografie da stampare sul foglio.
Il risultato è assicurato! Provare per credere!

Rilasciato NetBSD 5.0.1

Massimo Rabbi — Mon, 03 Aug 2009 13:36:27 +0000

Gli sviluppatori NetBSD hanno annunciato il rilascio di NetBSD 5.0.1, il primo aggiornamento di sicurezza per il sistema operativo NetBSD 5.0.
L’update risolve 11 problemi, tra cui quelli di Denial of Service (DoS) ai danni di BIND e DHCP, i buffer overflow in SHA2, ntp e hack, i bug in OpenSSL.

NetBSD 5.0 è stato rilasciato in aprile introducendo miglioramenti al threading e uno scheduler completamente riscritto.
Fixati con questo rilascio una serie di bug non legati alla sicurezza.
I dettagli completi dei cambiamenti introdotti disponibili nel file CHANGES-5.0.1.
NetBSD 5.0.1 è disponibile per il download.

Via Heise Security

Apple patcha il bug degli SMS di iPhone

Massimo Rabbi — Sun, 02 Aug 2009 19:13:53 +0000

All’inizio di questo mese avevamo posto l’attenzione su una scoperta fatta da Charlie Miller riguardante l’errato parsing degli SMS da parte dell’iPhone.
Ulteriori dettagli sono stati rilasciati nell’arco della conferenza BlackHat tenutasi a Las Vegas nei giorni scorsi, evidenziando come non solo iPhone ma anche Android e Windows Mobile siano in pericolo.

Per quanto riguarda iPhone, Apple ha rilasciato nella giornata di venerdì 31 luglio la versione aggiornata del firmware, la 3.0.1.
Tutti i dettagli in questa pagina relativa al security update.

Filemon e Regmon pronti al pensionamento

Massimo Rabbi — Wed, 29 Jul 2009 10:34:30 +0000

Nella pagina dei blog technet dedicati ai tools Sysinternals si legge che Filemon e Regmon verranno “dismessi” 01/09/2009.

Tra poco più di un mese quindi, due tra i tools più diffusi per l’analisi di un sistema Windows (malware e virus inspection in particolare) andranno definitivamente in pensione.
Gli utenti dovranno fare quindi riferimento al tool Procmon (giunto alla versione 2.5).
Tra le note si mette in evidenza come Process Monitor sarà il “naturale sostituto” per RegMon e FileMon, in virtù anche del fatto di essere più scalabile e avanzato dei suoi predecessori.

Questi due tools hanno avuto lunga vita, essendo nati già nel 1996 agli inizi di Sysinternals (originariamente NTinternals), e i fans dovranno dirgli addio a partire dal 1 settembre visto che verranno rimossi dal sito.

Attaccato il server del progetto CentOS

Massimo Rabbi — Tue, 07 Jul 2009 11:18:15 +0000

Sfruttando un errore di configurazione del CMS Xoops, anonimi crackers hanno ottenuto accesso al server web principale del progetto CentOS.
Stando a Ralph Angenendt, sysadmin di CentOS, non sono stati rubati o manomessi dati/informazioni.
Il server a quanto pare non è stato usato neanche per operazioni di spamming.
In ogni caso come misura di sicurezza, tutti gli utenti registrati dovranno reimpostare una nuova password attraverso il sistema di recupero password di Xoops.

Nonostante siano installati sulla stessa macchina il wiki e il sistema di bug tracking non sono stati manomessi.
L’attacco è stato inizialmente scoperto venerdi’ 3 luglio quando gli amministratori si sono imbattuti in alcuni file sospetti sul server.

FONTE: Attack on CentOS project server by Heise Security

ColdFusion nel mirino dei crackers

Massimo Rabbi — Sat, 04 Jul 2009 11:53:40 +0000

A quanto pare in questi ultimi giorni si stanno registrando ondate di attacchi che prendono di mira web applications scritte con ColdFusion (CFML).
I ricercatori del SANS hanno ricevuto infatti notifiche di intrusioni che riguardano l’exploiting di vulnerabilità presenti in vecchie versioni di ColdFusion.
In particolare il problema interessa due componenti delle applicazioni ColdFusion: l’editor di testo FCKEditor e il filemanager CKFinder. Una volta compromessa l’applicazione, gli attaccanti hanno pieno controllo sulla macchina server.
Bojan Zdrnja, ricercatore presso il SANS, fa sapere che le pagine web compromesse tipicamente riportano all’interno del codice html tag