.:: Securnetwork.net Blog – Massimo Rabbi ::.

Ieri mi è arrivato un sms dalla Vodafone: “Dal 1/10 Vodafone semplifica le tariffe: il tuo piano sarà VF Sera. Info su piano, scelta altri piani e recesso al n gratuito 42593 o vodafone.it“.
Primo pensiero: “Ma che cazz?!”.
Ennesimo tentativo di Vodafone per farmi cambiare verso un piano piu’ conveniente per loro.

Confrontando le tariffe del “Vodafone Sera” con quelle del mio attuale “Sera ricaricabile in Euro” ho potuto notare alcune differenze.
1. Le chiamate nazionali dalle 8:00 alle 16:00 mi passeranno da 37cent a 35cent
2. Lo scatto alla risposta passa da 10cent a 16cent!!
3. Cambiamenti nella tariffazione riguardante la segreteria telefonica.

Ho sempre mantenuto lo stesso piano per tutti questi anni per il semplice motivo che il telefono principalmente lo uso per sms e chiamare in orari post-pomeridiani o weekend. Molto spesso inoltre mi capita di fare piu’ chiamate ma brevi.
Ecco quindi che la novità dello scatto alla risposta di 16 cent non è per niente gradita, anzi mi fa alquanto girare le palle.

Quello che non mi è ben chiaro è se in qualche modo è possibile opporsi a questo passaggio forzato.
Nell’sms si fa riferimento al “recesso” anche se non è chiaro in quali termini.
Mi sa che dovro’ chiamare il 42593 per sentire quello che ha da dire la fantomatica vocina di turno.

Nel frattempo se qualcuno ha qualche info in piu’ a riguardo mi faccia sapere!

Stando ad alcuni segnalazioni tecniche, sarebbe possibile sfruttare un bug del telefono Nokia N95 per causare un freeze del dispositivo. L’unica soluzione in seguito al blocco è un riavvio del cellulare. Per fare questo sembra basti inviare una serie di pacchetti SIP INVITE al client SIP del Nokia N95, causando così il “blocco” del device.
Fortunatamente il client SIP è disabilitato di default.
La vulnerabilità scoperta riguarda il firmware 12.0.013, ma altre versioni e forse altri devices Nokia potrebbero essere possibili target del problema.
Stando alle segnalazioni sembra che Nokia non abbia rilasciato alcuna informazione ufficiale a riguardo: non è stata fornita alcuna patch, e l’unico workaround al momento è quello di lasciare disabilitato il client SIP dell’N95.

Gli stessi ricercatori che hanno individuato il bug del Nokia N95, hanno scovato una vulnerabilità sempre di tipo DoS nell’implementazione SIP del telefono IP Cisco 7940.
Tramite l’invio di una serie di pacchetti INVITE privi di username nel request URI, si riesce a forzare il reboot del device.
Tuttavia per sfruttare l’exploit è necessario uno user ID valido.
La vulnerabilità è stata confermata per il firmware P0S3-08-7-00.
Nessun aggiornamento è attualmente disponibile.

RIFERIMENTI:
* Nokia N95 cellphone remote DoS using the SIP Stack, Madynes Team error report
* Cisco Phone 7940 remote DOS, Madynes Team error report
* DoS vulnerabilities in Nokia N95 and Cisco 7940 IP phone, by Heise Security

Apple ha rilasciato l’aggiornamento firmware 1.1.2 per l’iPhone e iPod Touch, che corregge le falle scoperte nella libreria TIFF, usate dai possessori di iPhone per eseguire codice di terze parti e personale.
Una volta installato da iTunes, l’aggiornamento impedisce l’esecuzione di codice di terze parti sfruttando files TIFF manipolati.
La falla è stata sfruttata in alcune occasioni da utenti malintenzionati per fare injection di codice arbitrario sul dispositivo.

Gli utenti iPhone desiderosi di far girare le proprie applicazioni personali dovranno attendere ora il rilascio del Software Development Kit (SDK), in programma per febbraio 2008.
Detto questo sono pero’ in circolazione su internet nei vari siti e forum dedicati, le istruzioni su come installare l’aggiornamento senza perdere la possibilità di far girare codice di terze parti (vedi Unofficial Apple Weblog).
L’aggiornamento è invece una priorità di sicurezza per tutti coloro che usano l’iPhone o l’iPod Touch per navigare su Internet.

LINKS:
- About the security content of iPhone v1.1.2 and iPod Touch v1.1.2 Updates, Apple’s security advisory
- Apple closes TIFF hole in iPhone, news by Heise Security

Qualche tempo fa avevo segnalato un bellissimo video su Youtube in cui uno smanettone mostrava come era riuscito a creare un “clone” dell’interfaccia dell’iPhone, al tempo non ancora uscito.
Dopo allora non mi ero più interessato alla cosa e sinceramente non avevo nemmeno più cercato nulla sull’argomento.

Ieri navigando mi è capitato di beccare questa interessante segnalazione su SoftArchive.net.
“Turn your WM5 smartphone into an iPhone”

Il file .rar di quasi 5 mega che è hostato su Rapidshare contiene all’interno un po’ di applicativi e una serie di istruzioni su come installare e configurare il tutto.
Personalmente per motivi di tempo non ho ancora avuto modo di testarlo sul mio HP rw6815. In ogni caso chi ha vogli di provare mi faccia sapere come va!

Il gruppo di sviluppatori di Digium, ha rilasciato la versione 1.4.13 del noto software PBX Asterisk.
Con questa release vengono patchate due pericolose falle del sistema voicemail.
In Asterisk infatti il voicemail è processato via IMAP, e stando a quanto riportato da Digium nel bullettin di sicurezza il codice faceva uso di una chiamata a funzione sprintf (metodo alquanto sconsigliato visto che è preferibile usare la più sicura snprintf), con possibilità di buffer overflow.

In particolare un buffer overflow puo’ essere sfruttato per causare il crash del sistema o fare injection e eseguire codice in un terminale. Il problema si verifica quando gli headers di content type e content description sono complessivamente più di 1024 bytes.
Il report afferma che la falla puo’ essere sfruttata solo quando gli utenti accedono alla loro voicemail via telefono, l’accesso via e-mail non soffre del problema.
L’aggiornamento rimpiazza il codice “insicuro” con chiamate snprintf.
Il bug interessa solo le versioni Open Source 1.4.x del software

LINKS:
- Buffer overflows in voicemail when using IMAP storage, security advisory by Digium
- Security update for Asterisk 1.4, by Heise-Security

La polizia spagnola ha proceduto all’arresto di un 28enne sospettato di aver creato e distribuito un virus a più di 115.000 telefoni cellulari.
Le agenzie di stampa spagnola riportano che la polizia era sulle tracce del sospetto da ben 7 mesi.
Si tratta del primo arresto effettuato in Spagna con un’accusa di questo tipo.

Stando agli investigatori il virus infetta unicamente cellulari con il bluetooth attivato e che montano un sistema operativo Symbian.
Il virus sembra si diffondesse sotto forma di MMS dall’ipotetico contenuto erotico, o a seconda dei casi riportando informazioni sportive o addirittura del software antivirus.
La polizia ha affermato che gli effetti del virus hanno provocato danni per circa sette milioni di euro.

Oggi ho provato assieme a Matteo un software decisamente interessante: 12Voip.
Questo programmino si inserisce  a fianco dei tantissimi software dedicati al VOIP.
La cosa simpatica è la possbilità di effettuare chiamate in maniera gratuita dal proprio pc verso numeri fissi.
Il breve test è consistito in un paio di chiamate della durata di 3-4 minuti.
Un leggerissimo ritardo ma voce pulita e nessun particolare fruscio di fondo.
Testato anche con Relakks in funzione
Software quindi promosso!
Se vi va di fare una prova veloce questo è il sito di riferimento: 12Voip.

Sul sito di Apple sono recentemente comparsi 3 spot pubblicitari che preparano il lancio del tanto atteso iPhone.
Il link per vedere i video è questo: http://www.apple.com/iphone/ads/
Che dire, di certo un bel gioiellino!

Riporto e segnalo volentieri questa iniziativa di Anti Digital Divide per l’abolizione del canone Telecom sulla fonia e sulla linea solo dati.
A questo link potete firmare anche voi la petizione e dare un occhio alle informazioni in merito alla proposta riportate dall’associazione. Firmatela!
Grazie a Carlo per la segnalazione

Cisco ha segnalato alcune vulnerabilità nel software di telefonia IP di alcuni suoi prodotti, che possono portare a malfunzionamenti dei devices.
I componenti interessati dai problemi sono il Cisco Unified CallManager (CUCM) e il Cisco Unified Presence Server (CUPS).
Il servizio Skinny Call Control Protocol (SCCP) può essere mandato in crash inviando una serie di pacchetti “modificati”; lo stesso di casi per Secure SCCP.
Il bug è stato riscontrato in CUCM 3.x, 4.x e 5.0 ma non in CUPS.
Tuttavia sia i sistemi CUCM 5.0 che CUPS 1.0 possono essere mandati in crash attraverso l’invio di un numeroso eccessivo di pacchetti di PING.
In più un bug nell’IPSec Manager può portare ad un crash del servizio quando un particolare pacchetto UDP viene inviato alla porta 8500.
Questo problema influisce sul forwarding delle chiamate ma non sulle normali operazioni di telefonia.
Anche qui i prodotti vulnerabili sono CUPS 1.0 e CUCM 5.0.
Non c’è alcun tipo di workaround per evitare i problemi in questioni, tuttavia resta una buona idea limitare e filtrare gli accessi al sistema.
Sono comunque disponibili gli updates per risolvere le vulnerabilità sopra descritte.

Altri riferimenti:
- Multiple Cisco Unified CallManager and Presence Server Denial of Service Vulnerabilities, Cisco security advisory

Riprendo molto volentieri una news che ho trovato su ZeusNews, ma che circola in rete da qualche giorno.
Grazie a Giulia per la segnalazione via sms stamattina.
ARTICOLO ORIGINALE QUI: ZeusNews
Vodafone attiva servizi a pagamento non richiesti
Sms vocali e relativa notifica: ecco come l’operatore rosso recupera i mancati introiti per le ricariche, azzerati dal decreto Bersani.
Da alcuni giorni Vodafone ha attivato a tutti i propri utenti due nuovi servizi, Ricezione Sms vocale e Notifica ricezione Sms vocale.
Il primo servizio consente di inviare un breve messaggio vocale (della durata massima di trenta secondi) a un altro utente Vodafone e viene proposto automaticamente quando l’utente chiamato non è raggiungibile (e non ha attiva la segreteria). L’utente chiamato viene avvisato della presenza di un nuovo “Sms vocale” tramite un tradizionale messaggio di testo. L’ascolto del Sms vocale è gratuito, mentre chi lo invia paga 29 centesimi.
Il secondo servizio è la notifica, tramite Sms, dell’avvenuto ascolto del Sms vocale lasciato. Questo secondo servizio è gratuito.
Sebbene i servizi siano per molti versi innovativi, la maggior parte degli utenti li ha intesi come un tentativo di Vodafone di rifarsi sui mancati introiti per i costi di ricarica, azzerati come noto dal decreto Bersani. Soprattutto gli utenti non hanno gradito la modalità di attivazione forzata di nuovi servizi a pagamento e stanno intasando in questi giorni il sito di Vodafone (e il call center) per disattivarli.
Visto l’elevato traffico, questa operazione risulta difficile e il sito “Fai da te” di Vodafone a moltissimi continua a rispondere di “riprovare più tardi”.
Sui forum di Zeus News (nei commenti dei lettori qui sotto) troverete l’esatta procedura per disattivare i due nuovi servizi, nonché il comunicato ufficiale di Vodafone che chiarisce la posizione dell’azienda.

Qualcuno in attesa del rilascio di iPhone, ha deciso di realizzare da sè un’interfaccia in stile iPhone da mettere sul proprio Pocket Pc.
E’ il caso di questo smanettone che ha realizzato un programma che gira in full screen…
Il tutto utilizzando PPL 1.20 che può essere scaricato gratuitamente all’indirizzo http://arianesoft.ca. Si tratta di un linguaggio di programmazione, PPL appunto (acronimo per Pocket Programming Language), pensato per realizzare in maniera rapida e veloce applicazioni per i dispositivi mobile.
L’autore stando a quanto scrive nei commenti di risposta ad alcuni utenti su YouTube, non ha ancora intenzione di rilasciare il software, onde evitare di incorrere in possibili problemi legali con Apple.
“Thanks for the compliments. I haven’t plan on releasing it yet because I might run into legal issues with Apple. We’ll see how it goes ”
Per il momento non resta che fargli i complimenti… gustatevi il video!

Dopo la presentazione ufficiale del nuovo sistema operativo Windows Mobile 6 avvenuta il 12 febbraio scorso a Barcellona in Spagna, cominciano ad arrivare i primi annunci dei costruttori sui dispositivi mobili che verranno.

Tra questi anche Motorola che ha annunciato i due modelli che monteranno il nuovo sistema operativo: Moto Q q9 e il Q gsm, con tastiere QWERTY, successori del Moto Q, entrato nel mercato lo scorso maggio.
Grande enfasi sulle caratteristiche del Q q9: fotocamera da 2Mpixel, supporto per il playback e cattura di video a 30fps, 256MB di RAM più uno slot di espansione microSD. Il dispositivo è quad-band GPRS/EDGE e supporta HSDPA. Monta di default il web browser Opera mobile. Leggi il resto dell’articolo »

Se vi interessa dare uno sguardo alle funzionalità principali del nuovo nato in casa Apple date un’occhiata a questo video su YouTube.
Certo la cosa non può che lasciare a bocca aperta.
L’unico mio dubbio resta sempre legato al problema del touchscreen. Quanto durerà il display?!

Al MacWorld Expo 2007 a San Francisco nella giornata di ieri Steve Jobs ha svelato quello che nelle sue intenzioni dovrebbe essere il cellulare del futuro.
Il fatto che iPhone sia basato su Mac OS X ha fatto dichiarare a Jobs che questo dispositivo utilizza un sistema operativo 5 anni più avanti rispetto a qualsiasi altro software montato sui cellulari attualmente in commercio.

Leggi il resto dell’articolo »

La compagnia ha annunciato ieri (al CES di Las Vegas) il lancio della nuova versione del proprio software per la ricerca mobile: Yahoo Go 2.0.
Ha anche dichiarato che il nuovo prodotto verrà precaricato in più di 70 differenti modelli di dispositivi mobili dei piu’ importanti brand tra cui Motorola, Nokia, Samsung e Research in Motion.

Yahoo sta entrando di prepotenza nel mercato mobile aggiornando i propri servizi e le proprie offerte (in primis proprio la ricerca) per farsi spazio tra i vari rivali, tra cui l’eterno “nemico” Google.
La precedente versione del prodotto (già sul mercato da un anno) era poco user-friendly, e quindi non molto diffusa.
Tuttavia con la versione 2.0 sono stati fatti radicali cambiamenti, tra cui la funzione “oneSearch” che rende semplice agli utenti reperire informazioni attraverso una directory contenente informazioni su esercizi commerciali locali e mappe.
Il servizio è gratuito e verrà preinstallato come detto su vari modelli proprio dai produttori stessi. Sarà chiaramente anche disponibile per il download, e Yahoo nel frattempo sta pensando di sfruttare la pubblicità.

Presentato fresco fresco al Consumer Electronics Show di Las Vegas il nuovo modello Nokia N76 sembra il tentativo da parte della compagnia finlandese di colmare un vuoto abbastanza evidente nella propria linea di prodotti: un modello slim ultra sottile in grado di surclassare il successo del famosissimo Razr dell’avversaria Motorola.
Sembra che per poter effettivamente avere tra le mani questo gioiellino dovremmo aspettare ancora po’, anche se le previsioni parlano del primo trimestre di quest’anno.
Il prezzo di vendita dichiarato dovrebbe aggirarsi sui 390 euro pari a 511 dollari, ma siamo certi che qui da noi tanto per cambiare il prezzo lieviterà di molto tenendo in considerazione tasse d’importazioni e quant’altro.
Leggi il resto dell’articolo »

Una compagnia di software cinese ha affermato che è stato cracckato il protocollo di skype attraverso un lavoro di reverse engineering. I dettagli sono ancora scarsi e poco chiari.
Se ciò fosse vero la notizia potrebbe significare che client Skype di terze parti potrebbero comparire da un momento all’altro.

La notizia è stata pubblicata da Charlie Paglee su VoIPWiki Blog, il quale ha postato informazioni circa la chiamata effettuata da un amico in Cina. Questa persona infatti gli avrebbe inviato uno screenshot in cui si nota un “prototipo” di client Skype utilizzato per effettuare la chiamata.
E’ molto probabile che una demo di questo fantomatico client sia pronta per agosto.
Non ci resta che aspettare!

Con una mossa a sorpresa lunedi’ Skype ha reso gratuite le chiamate verso tutti i numeri fissi e di telefoni cellulari effettuati con SkypeOut all’interno degli Stati Uniti e del Canada.
Questa scelta arriva qualche giorno dopo l’introduzione di Microsoft di Windows Live Messenger beta.

Leggi il resto dell’articolo »

Google ha lanciato la versione del suo servizio di mappe per telefoni cellulari, offrendo la possibilità di individuare indirizzi e località oltre alla possibilità di cercare negozi e store.

Gli utenti devono semplicemente scaricare e installare una applicazione completamente gratuita attraverso la propria connessione dati. Le mappe vengono inviate al device tramite una connessione dati wireless. Leggi il resto dell’articolo »