Archivio » 2004 » dicembre » mercoledì 15 »

Le nuove pezze per Windows, viste da vicino

Scritto da Guido Sintoni

Come previsto, ecco le toppe per le falle di sicurezza del sistema

Sono state puntualmente rilasciate le cinque patch previste da Microsoft per Windows: si tratta nella maggior parte dei casi di correzioni contro la possibilità di esecuzione di codice arbitrario.
La patch Ms04-041 corregge due bug di Word Pad, il minimale editor di testi, che risente di un problema nel metodo di conversione di tabelle e font: il problema riguarda tutti i sistemi Windows e Microsoft reputa la vulnerabilità “importante” e non “critica” (assegnandole il terzo dei quattro gradini della propria scala di pericolosità) perché l’esecuzione di codice arbitrario richiede una significativa interazione dell’utente.
La patch Ms04-042 riguarda il server Dhcp (Dynamic host configuration protocol) di Windows Nt 4.0, che si occupa di erogare indirizzi IP su base dinamica ai client di rete che li richiedono: si tratta di un problema che riguarda l’utenza aziendale, esponendola a denial of service ed esecuzione arbitraria di codice. Microsoft lo definisce ancora “importante”, consigliando l’applicazione della patch cumulativa.
La terza patch, Ms04-043, riguarda Hyper Terminal, un componente non certo tra i più usati di Windows, ma presente su tutte le versioni del sistema operativo: un suo bug apre la possibilità di una presa di controllo nei confronti di un sistema remoto vulnerabile. Si tratta di un’ipotesi di nicchia, visto che in genere ad Hyper Terminal si sostituiscono applicazioni più robuste e performanti, ma la vulnerabilità è anch’essa “importante” e va corretta con l’apposita pezza su tutte le versioni di Windows.
Il quarto bollettino, Ms04-044, descrive i rimedi contro i bug nel kernel di Windows (il vero e proprio oggetto misterioso di ogni sistema operativo a sorgente chiusa che si rispetti) e nelle librerie del servizio Lsass (Local security authority subsystem service) che potrebbero portare a una privilege escalation, ovvero all’esecuzione di applicazioni con permessi maggiori di quanti originariamente previsti. Anche qui si parla di una vulnerabilità di rilievo riguardante tutte le versioni di Windows.
La quinta patch, Ms04-045 è quella - già ampiamente prevista - per Wins: riguarda l’utenza aziendale, e corregge due debolezze specifiche.

Meglio proteggersi Tutto sommato, Microsoft ha vissuto tempi peggiori: basta pensare alla valanga di patch dello scorso ottobre per rendersene conto. Dicembre ha riservato cinque pezze a correzione di nove vulnerabilità in totale (senza considerare la “patch di mezzo”, ovvero Ms04-040 per Internet Explorer), nessuna delle quali copre vulnerabilità definite “critiche”.
Proprio l’assegnazione del grado di pericolosità suscita polemiche e suggerisce l’idea che il rating di Microsoft sia stata una mossa più orientata a rassicurare l’utente (qualcosa del tipo: “Abbiamo troppi bug? Basta dire che non sono così gravi come sembrano”) che non dettata dall’effettiva portata dei rischi di intrusione.
Stephen Toulouse, program manager presso Microsoft Security Response Center, ha dichiarato: “Una vulnerabilità critica significa che, nello scenario di base di un Pc connesso ad Internet, essa può essere sfruttata per espandersi da macchina a macchina. Contrassegniamo come critiche le vulnerabilità wormabili, a rischio cioè di diffusione”.
Concetto rispettabile eppur bizzarro, visto che l’esecuzione di codice arbitrario è ritenuta unanimemente uno dei pericoli maggiori per le applicazioni informatiche, e che fa a pugni con una semplice considerazione: Lsass è un servizio di rete che a Microsoft è già costato la figuraccia di Sasser, e che è stato corretto da una delle patch più tribolate dell’intera storia di Redmond, quella Ms04-011 che da sola copriva quattordici vulnerabilità. Proprio per questo l’eventuale sottostima della portata dei bug di Lsass (e non solo) sembra più una mossa autolesionistica che oculata.