Alert GCSA-10138 - APSB10-22 Vulnerabilita' in Adobe Flash Player

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

    Alert ID : GCSA-10138
        Data : 22 settembre 2010
      Titolo : APSB10-22 Vulnerabilita' in Adobe Flash Player 10.1.82.76

******************************************************************


:: Descrizione del problema

    E' stata identificata una vulnerabilita' in Adobe Flash Player.
    Questa vulnerabilita' puo' consentire il crash del sistema
    e potenzialmente permettere ad un aggressore di prenderne
    il controllo.
    Vi sono report secondo i quali questa vulnerabilita' e'
    attualmente sfruttata su internet ai danni di sistemi Windows.

    Questa vulnerabilita' (CVE-2010-2884) affligge anche Adobe Reader e
    Adobe Acrobat, ma Adobe non e' a conoscenza di alcun attacco
    che attualmente sfrutti tale vulnerabilita' contro questi prodotti.

    Esiste pero' un altro bug (CVE-2010-2883), relativo solo a
    Reader e Acrobat e scoperto in data 8 settembre, che risulta
    in corso di sfruttamento per mezzo di documenti PDF artefatti.


:: Software interessato

    Adobe Flash Player 10.1.82.76 e precedenti per Windows, Macintosh, Linux e Solaris
    Adobe Flash Player 10.1.92.10 per Android

    Adobe Reader 9.3.4 e versioni precedenti per Windows, Macintosh e UNIX
    Adobe Acrobat 9.3.4 e precedenti per Windows e Macintosh

    Per verificare la versione di Flash Player installata
    accedere alla seguente pagina

    http://www.adobe.com/products/flash/about/

    Se utilizzate piu' browser effettuare il controllo
    da ognuno di essi.


:: Impatto

    Esecuzione remota di codice arbitrario
    Conquista del controllo sul sistema
    Denial of service


:: Soluzioni

    Aggiornare a Flash Player 10.1.85.3 .
    Per gli utenti di Flash Player 10.1.92.10 per Android aggiornare a
    Flash Player 10.1.95.1

    http://get.adobe.com/flashplayer/

    oppure utilizzare la funzione auto-update presente nel prodotto
    quando viene proposta.

    Per gli utenti che non possono passare a Flash Player 10.1.85.3,
    Adobe ha sviluppato una versione corretta di Flash Player 9,
    Flash Player 9.0.283, che puo' essere scaricata al seguente link:

    http://kb2.adobe.com/cps/406/kb406791.html

    Per Adobe Reader 9.3.4 e Acrobat 9.3.4 non e' ancora disponibile
    alcun aggiornamento. Nella settimana del 4 ottobre 2010 verra'
    pubblicata la nuova versione che risolvera' entrambi i bug
    citati.


:: Riferimenti

    Abobe Security Advisory e Bulletin
    http://www.adobe.com/support/security/bulletins/apsb10-22.html
    http://www.adobe.com/support/security/advisories/apsa10-03.html
    http://www.adobe.com/support/security/advisories/apsa10-02.html

    Mitre's CVE ID
    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2884
    http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2883

    Vupen Security
    http://www.vupen.com/english/advisories/2010/2349
    http://www.vupen.com/english/advisories/2010/2348
    http://www.vupen.com/english/advisories/2010/2331
    http://www.vupen.com/english/Reference-CVE-2010-2884.php
    http://www.vupen.com/blog/

    ISC SANS
    http://isc.sans.org/diary.html?storyid=9544
    http://isc.sans.edu/diary.html?storyid=9538
    http://isc.sans.edu/diary.html?storyid=9541
    http://isc.sans.edu/diary.html?storyid=9523

    Microsoft TechNet Blog
    http://blogs.technet.com/b/srd/archive/2010/09/10/use-emet-2-0-to-block-the-adobe-0-day-exploit.aspx

    Secunia
    http://secunia.com/advisories/41340

    Securityfocus Bugtraq ID
    http://www.securityfocus.com/bid/43057
    http://www.securityfocus.com/bid/43205

-----BEGIN PGP SIGNATURE-----

iQCVAwUBTJndSPOB+SpikaiRAQKVhgQAvU0014umuqj8FprsgmdgnQmjVE/A34uN
O6CxGEFO2j9fyNS1dZPG7KQqztuMGkXUJ0VR37QCOwFY5BRlBwmBYJlUPDUSDcP5
YQf4RnrWNZtNiNv+l5YG29oZzlFpIfBI7e1QULTNqETnL3eGYqgJPDeO8Rmlh1XI
IlcFz0SNGTo=
=f4Xm
-----END PGP SIGNATURE-----