Falla zero day nei prodotti Adobe.

Di Kim Allamandola.

Flash, Acrobat e il Reader presentano tutti falle critiche, per le quali già sono pronti gli exploit.

Ieri mattina, nello stesso giorno in cui Adobe pianificava il rilascio di una patch per una falla critica in Shockwave, Bugix Security ha documentato un'altra vulnerabilità ugualmente grave e completa di exploit in Flash, Reader e Acrobat su ogni piattaforma supportata.

Se tale vulnerabilità riguarda in misura minore gli utenti GNU/Linux che - grazie ad AppArmour, a SELinux e in generale alla separazione dei privilegi - sono protetti dal loro sistema senza dover far nulla, interessa invece molto gli utenti Microsoft e Apple per i quali le uniche misure precauzionali al momento disponibili, a parte la drastica decisione di non aprire PDF né guardare video Flash, sono complesse e di incerto funzionamento, come indica lo US-CERT.

Il rilascio di un aggiornamento dei prodotti vulnerabili non è atteso fino al 9 novembre per Flash e fino al 15 novembre per il Reader e Acrobat: nelle prossime due settimane sarà bene fare molta attenzione a quello che si visualizza. Oppure cambiare software.

Simili problemi (o, meglio, rischi) non sono una gran novità: ripercorrendo a ritroso la sola storia recente all'inizio di ottobre sono state pubblicate varie vulnerabilità critiche in Reader e Acrobat; il 10 agosto è stato il turno di Flash e Air; a giugno toccava ancora ad Acrobat e al Reader mentre poco prima apparivano falle in Flash e Air e precedentemente ancora, il 4 giugno, erano state pubblicate vulnerabilità sia in Flash che di Reader. E si potrebbe andare avanti a piacere.

Che la sicurezza informatica sia da tempo un business, e al contempo un grosso problema, è ormai tristemente noto; viene tuttavia da chiedersi - notando come la maggior parte delle vulnerabilità riguardi software closed source e abbia impatti, potenzialmente gravi, pressoché esclusivamente su sistemi chiusi come Windows e Mac OS X - per quale ragione restare su questi prodotti.

La "fuga" è in realtà iniziata a macchia di leopardo da tempo anche con casi eclatanti, a partire dalla Polizia francese fino alle scuole andaluse, senza considerare tutti i casi più o meno pubblicizzati, dalla Borsa di Londra sino alla nostra ASL Toscana o alla Provincia di Bolzano e a centinaia di aziende e privati. Da qui ad un mondo informaticamente più sicuro, interoperante e semplice, però, la strada è ancora lunga e molti interessi sono in ballo.

Kim Allamandola.