Alert GCSA-09095 - Vulnerabilita' in Microsoft Windows Crypto API

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1



******************************************************************

       Alert ID : GCSA-09095
           Data : 15 Ottobre 2009
         Titolo : Vulnerabilita' in Microsoft Windows Crypto API
 		 (MS09-056)

******************************************************************


:: Descrizione del problema

Sono state identificate due vulnerabilita' in Microsoft Windows
GDI+, che potrebbero essere sfruttate per spoofing e bypass di
restrizioni di sicurezza. Le vulnerabilita' sono dovute ad
errori in Windows CryptoAPI nell'elaborare terminatori nulli o oggetti
ASN.1 in certificati X.509 e potrebbero permettere ad un attaccante
remoto in possesso di un certificato appositamente predisposto, di
impersonare un altro utente nel sistema, bypassando le restrizioni di
sicurezza o causando spoofing su una macchina che ne sia affetta.


:: Software interessato

Microsoft Windows 2000 Service Pack 4
Microsoft Windows XP Service Pack 2
Microsoft Windows XP Service Pack 3
Microsoft Windows XP Professional x64 Edition Service Pack 2
Microsoft Windows Server 2003 Service Pack 2
Microsoft Windows Server 2003 x64 Edition Service Pack 2
Microsoft Windows Server 2003 SP2 (Itanium)
Microsoft Windows Vista
Microsoft Windows Vista Service Pack 1
Microsoft Windows Vista Service Pack 2
Microsoft Windows Vista x64 Edition
Microsoft Windows Vista x64 Edition Service Pack 1
Microsoft Windows Vista x64 Edition Service Pack 2
Microsoft Windows Server 2008 (32-bit)
Microsoft Windows Server 2008 (32-bit) Service Pack 2
Microsoft Windows Server 2008 (x64)
Microsoft Windows Server 2008 (x64) Service Pack 2
Microsoft Windows Server 2008 (Itanium)
Microsoft Windows Server 2008 (Itanium) Service Pack 2
Microsoft Windows Server 2008 R2 (x64)
Microsoft Windows Server 2008 R2 (Itanium)
Microsoft Windows 7 (32-bit)
Microsoft Windows 7 (x64)


:: Impatto

Bypass di restrizioni di sicurezza
Spoofing


:: Soluzioni

Applicare gli aggiornamenti rilasciati da Microsoft:
http://www.microsoft.com/technet/security/Bulletin/MS09-056.mspx


:: Riferimenti

Microsoft Security Bulletin MS09-056
http://www.microsoft.com/technet/security/Bulletin/MS09-056.mspx

Secunia
http://secunia.com/advisories/36999

VuPEN
http://www.vupen.com/english/advisories/2009/2891

Mitre's CVE ID
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2510
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2511


-----BEGIN PGP SIGNATURE-----

iQCVAwUBStcmuvOB+SpikaiRAQJAAwQAnk8pU+Su9g4JeWn3KVGyPWWtKVAXO01f
5VZPzQDSzE48YU/hh1FCI1bdBYBORL2DWTX6UfKR90RVjXfD8krtfyKdzLJIrQKa
lOGwvuFr9C+i8icbof0x7WLTCx+b93w5WevRcMjM6hEXUJgCmepnEmECKB7WZHmb
56pNzAVciHE=
=rtXi
-----END PGP SIGNATURE-----