Archivio » 2004 » dicembre » mercoledì 1 »

Browser, (tutti) in pericolo?

Scritto da Guido Sintoni

Sicurezza e antivirusInternet: le notizie

“Per finire i miei studi, cerco una posizione in un’azienda che preferibilmente si occupi di sicurezza informatica; una volta terminati gli studi, cercherò un lavoro. Le informazioni su questa pagina dovrebbero dare un’idea delle mie competenze”. Senza dubbio, SkyLined - al secolo Benend J. Wever - è un ragazzo olandese con le idee chiare.
In diretta dalla rete Forse fin troppo, a dire il vero: un bug scoperto su una funzione di Javascript funziona sia sul browser di casa Microsoft, che suMozilla, Firefox, Opera e Apple Safari.
Wever ha ammesso che la sua ricerca era focalizzata sul browser di casa Microsoft e che le altre scoperte sono frutto del caso: è bastato provare le quattro righe di codice scritto a mo’ di proof of concept per ottenere sulle altre applicazioni gli stessi risultati di Internet Explorer.

Si tratta di una vulnerabilità chiamata Infinite Array Sort Denial Of Service Vulnerability: porta ad eseguire un ciclo infinito di array ai browser affetti dal bug, fino all’esaurimento della memoria di tipo statico e al conseguente malfunzionamento o crash dell’applicazione.
Proprio le quattro righe di codice di Wever sono al centro di polemiche: il ragazzo non avrebbe aspettato molto tempo prima di rivelarle, e ne è la prova il fatto che nessuno dei vendor - al momento in cui scriviamo - abbia già approntato patch per la vulnerabilità.
Wever scansa le polemiche con una motivazione lapalissiana: “Vengo pagato [per la mia attività]? No. Ne ricevo scocciature? Sì. Ricevo attenzione da persone che sanno di cosa sto parlando e potrebbero avere interesse ad assumermi? Sì”.

In altri termini, il ragazzo ricorda che la sua scoperta non ha ancora portato alla comparsa di exploit su Internet e che nel mondo della sicurezza informatica esistono persone ancor meno responsabili, che mirano a trarre profitto dalle vulnerabilità trovate.
Poco male, quindi, se le scoperte sono una possibile fonte di grattacapi per gli utenti, esperti e non, a causa dell’intempestività del rilascio: il credo del ragazzo sembra essere “Per maggiori informazioni e per ottenere una copia del mio curriculum vitae, mandatemi una e-mail”. È così, infatti, che Wever conclude la propria presentazione