F-Secure, corretta una vulnerabilità critica

F-Secure, azienda focalizzata sullo sviluppo di soluzioni per la sicurezza informatica, ha annunciato la presenza all’interno di alcuni suoi prodotti di una vulnerabilità di tipo buffer overflow derivata dal modo in cui vengono decompressi i file presenti negli archivi LHA. Sfruttando tale falla, un utente malintenzionato potrebbe essere in grado di eseguire del codice arbitrario nel computer della vittima oppure di generare un ‘denial of service’. La lista completa dei prodotti che presentano la vulnerabilità e le modalità per porvi rimedio, sono contenute nel bollettino di sicurezza FSC-2007-1 pubblicato da F-Secure.

La vulnerabilità è stata definita come critica e sembra essere molto simile alla falla scoperta lo scorso settembre nella utility di decompressione Gzip: un utente con intenti malevoli può sapientemente creare un file LHA in grado di generare nella fase di decompressione un buffer overflow, permettendo così l’esecuzione di codice arbitrario, oppure una condizione di “denial of service”.

I prodotti coinvolti in tale vulnerabilità sono F-Secure Anti-Virus, Internet Gatekeeper e Internet Security.
Nel caso di Internet Security 2005/2007, F-Secure Anti-Virus 2005/2007 e Secure Protection Service for Consumers 5.00/6.40, l’hotfix viene inviato automaticamente agli utenti tramite aggiornamento automatico, mentre per quanto riguarda gli altri prodotti che presentano tale vulnerabilità, è necessario scaricare manualmente le patch consultando il bollettino di sicurezza FSC-2007 pubblicato da F-secure.

F-Secure ha altresì corretto altre due falle: la prima permetteva ad un cracker di accedere a specifiche aree del sistema senza autorizzazione, mentre la seconda permetteva di utilizzare il Policy Manager Server per lanciare un attacco
“denial of service” contro il software che gestisce la sicurezza.