Alert GCSA-11026 - Aggiornamento gestione certificati per compromissione

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

     Alert ID : GCSA-11026
         Data : 24 Marzo 2011
       Titolo : Aggiornamento gestione certificati per compromissione RA COMODO

******************************************************************


:: Descrizione del problema

A causa della compromissione di una RA Comodo, avvenuta il giorno 15 Marzo 2011,
sono stati rilasciati aggiornamenti per alcuni browser tra i piu' diffusi.
La compromissione della RA ha comportato l'emissione di nove certificati SSL 
fasulli, relativi ai seguenti sette domini:
login.live.com, mail.google.com, www.google.com, login.yahoo.com (3 
certificati), login.skype.com, addons.mozilla.org, e "Global Trustee".

I certificati fasulli sono stati gia' revocati, pertanto un browser 
configurato per controllare la CRL (Certificate Revocation List) o per 
utilizzare il protocollo OCSP (Online Certificate Status Protocol) non corre rischi.

Ad ogni modo gli aggiornamenti rilasciati consentono ai browser di riconoscere 
i seriali dei certificati fasulli e quindi di bloccarli, anche se non fosse 
configurato il controllo della CRL o l'utilizzo del protocollo OCSP.

Per una descrizione piu' dettagliata della compromissione si rimanda alla 
sezione "Riferimenti".


:: Software interessato

Tutti i browser sono interessati dalla compromissione, ma al momento gli unici 
aggiornamenti rilasciati riguardano:

Mozilla Firefox
Google Chrome
Microsoft Windows


:: Impatto

Information Disclosure


:: Soluzioni

Applicare gli aggiornamenti rilasciati

Microsoft Update 2524375 :
http://windowsupdate.microsoft.com

Mozilla Firefox versioni 3.6.16 o 3.5.18 :
http://www.mozilla.com/firefox/

Google Chrome 10.0.648.151
http://www.google.com/chrome/intl/en/landing_chrome.html?hl=en

Relativamente ai browser per i quali non sono stati rilasciati aggiornamenti,
si suggerisce di controllare che l'abilitazione al controllo della CRL o 
all'utilizzo del protocollo OCSP, sia attiva.


:: Riferimenti

Comodo
http://www.comodo.com/Comodo-Fraud-Incident-2011-03-23.html

The Tech Herald
http://www.thetechherald.com/article.php/201112/6964/Comodo-certs-hijacked-who-or-what-is-to-blame

VUPEN
http://www.vupen.com/english/advisories/2011/0753
http://www.vupen.com/english/advisories/2011/0733

Microsoft
http://www.microsoft.com/technet/security/advisory/2524375.mspx

Mozilla
http://www.mozilla.org/security/announce/2011/mfsa2011-11.html

Google Chrome
http://googlechromereleases.blogspot.com/2011/03/stable-and-beta-channel-updates_17.html
-----BEGIN PGP SIGNATURE-----

iQCVAwUBTYsWrfOB+SpikaiRAQKGKwQAvyftvGmVZpMCjMd2fS/c2EMDvP3T/rGJ
7A3H6PAKtZ2ZD9bTGKWDKf2RQOEMgmhdj0lrKToyqT4bgP1W5s/n2Ssg8KAcHSKB
8KGQDYslJMLgT3YHoEU1xck6t/PWkxkwomU6UaDIEGeVGhX/wPU1AbzgHUevtRhy
sDuXdg+zJPM=
=rhGt
-----END PGP SIGNATURE-----