Secunia registra un significativo aumento del numero di vulnerabilità pericolose

La società danese Secunia, specializzata in sicurezza IT, ha pubblicato un report riguardo ai prodotti maggiormente vulnerabili, in relazione al periodo maggio-luglio. Con la release dello scorso mese di luglio, in cui sono stati eliminati numerosi difetti e carenze dell’applicazione, il browser Avant è andato ad occupare il primo posto della speciale Тор-20, accuratamente stilata dai ricercatori. La leadership della graduatoria relativa al numero complessivo di prodotti vulnerabili è andata ancora una volta ad appannaggio di IBM. Secunia ha ugualmente rilevato come il numero totale delle vulnerabilità scoperte nei primi sette mesi dell’anno in corso (dal 1° gennaio al 31 luglio) in ben 1.993 prodotti software sia di fatto paragonabile all’analogo valore riscontrato riguardo al medesimo periodo dell’anno passato (9.225 contro 9.560); ad ogni caso, la quota relativa alle falle di sicurezza classificate come “estremamente critiche” è aumentata, passando dallo 0,3 allo 0,5%, mentre, a sua volta, l’indice inerente alle vulnerabilità valutate come “altamente critiche” è salito dall’11,1 al 12,7%.

È già la quarta volta che Secunia presenta le Тор-20 mensili riguardo ai prodotti che si sono rivelati maggiormente vulnerabili; tali classifiche sono il risultato di controlli effettuati su 50.000 prodotti software. Inoltre, i dati statistici risultano immancabilmente accompagnati da opportuni commenti riguardo a determinate posizioni. Ad esempio, la leadership “ottenuta” nel mese di luglio dal browser Avant, per numero di vulnerabilità in esso riscontrate, viene spiegata come una combinazione di due precisi fattori. In primo luogo, Avant riunisce i rendering engine di Google Chrome e Firefox; ciò significa che, potenzialmente, tutte le vulnerabilità presenti in questi due browser si manifestano anche in Avant. In secondo luogo, il browser Avant non viene aggiornato in maniera regolare (solo alcune volte nel corso dell’anno) e le falle di sicurezza che esso contiene emergono esclusivamente nel momento in cui vengono rilasciate nuove versioni dello stesso (la release più recente risale proprio al mese di luglio). Non è noto se tale browser riceve le patch rilasciate per Chrome e Firefox, visto che le informazioni riguardo alla chiusura delle falle di sicurezza individuate in Avant sono in genere scarse; per tale motivo, Secunia presuppone lo scenario peggiore.

Nello scorso mese di luglio sono state ugualmente individuate vulnerabilità molto pericolose in Stagefright, un media player nativo di Android. L’exploit ad esse “dedicato” risulta estremamente semplice e non richiede alcuna interazione da parte dell’utente: per l’attaccante è in effetti sufficiente inviare alla potenziale vittima un messaggio MMS dannoso. Il malintenzionato, in tal modo, ottiene l’accesso remoto al dispositivo Android e la possibilità di visualizzare o carpire dati. Nel loro report, gli esperti di Secunia hanno evidenziato come Google abbia rilasciato con grande rapidità le patch per le versioni vulnerabili del sistema operativo; tuttavia, a causa della stessa natura “aperta” dell’ecosistema Android, occorrerà del tempo prima che le stesse giungano all’utente finale, se mai lo raggiungeranno.

Nell’arco del trimestre preso in esame, Secunia ha complessivamente rilevato, a livello di Top-20, ben 2.211 nuove vulnerabilità; di esse, 206 sono state individuate nel browser Avant, 140 in Flex System Manager (FSM), il modulo di gestione del sistema di IBM, 91 in Mac OS X. Per quel che riguarda nello specifico gli OS, è di particolare interesse notare come siano ugualmente entrati a far parte della Top-20 sistemi operativi quali Oracle Solaris, IBM i5/OS, e F5 TMOS. I ricercatori sottolineano, inoltre, come la composizione dei rating mensili da essi elaborati vari di continuo; per tale motivo gli utenti non debbono “dormire sugli allori”, installando solamente le patch via via rilasciate per i prodotti sviluppati dai vendor più noti.

Il testo completo del report stilato da Secunia è disponibile sul sito web della società danese (è richiesta la registrazione dell’utente). La Тор-20 di luglio è ugualmente riportata all’interno della sezione “News” di Softpedia.com.

Fonte: Secunia

Post correlati

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *