ShockWave, pericolosa falla nell'installer

Un nuovo problema di sicurezza per gli utenti in possesso di piattaforma Windows viene dall’installer di Macromedia ShockWave Player. Il consiglio, alla luce delle indicazioni provenienti dalla casa madre, è di evitare il download del player da siti che non siano quello ufficiale Macromedia poiché un eventuale exploit verrebbe portato a compimento tramite tale espediente.

La vulnerabilità è emersa nelle versioni del player fino alla 10.1.0.11 ed è stata giudicata come «highly critical» dagli analisti Secunia nonché come «critical» dalla stessa Macromedia. Il problema insorge nel momento in cui appositi valori vengono passati dal sito web maligno all’atto dell’installazione del player. Un successivo exploit permetterebbe di eseguire codice da remoto mettendo in grave pericolo il sistema attaccato.

Unico fattore mitigante al problema è la necessaria interazione dell’utente il quale deve visitare il sito web contenente l’exploit ed accettare il download e l’installazione del player (l’attacco può essere portato a segno solo durante tale fase, dunque chi già fosse in possesso di player ShockWave installato non corre alcun rischio). Autore della scoperta Peter Vreugdenhil, con Macromedia che ringrazia pubblicamente la Zero Day Initiative per l’aiuto apportato durante le indagini sul bug. Il sito ufficiale della Zero Day Initiative permette di prendere visione della cronologia dell’intervento: segnalazione a Macromedia il 22 Novembre 2005, rilascio ufficiale del bollettino di sicurezza datato 23 Febbraio 2006.