Archivio » 2005 » febbraio » lunedì 14 »

Msn Messenger vulnerabile

Scritto da Guido Sintoni

Le patch vanno installate immediatamente_Internet: tutte le notizie_Sicurezza?

Tra le dodici patch rilasciate da Microsoft nella tornata di febbraio_ [leggi la descrizione] , una sta particolarmente a cuore ai chatters.

In diretta dalla Rete Il bollettino MS05-009 corregge infatti vulnerabilità che Microsoft ritiene “critiche” (si tratta del gradino più elevato della propria scala) in MSN Messenger 6.1, MSN Messenger 6.2 (oltre a Windows Messenger 4.7 e 5) e Windows Media Player 9.

Il problema risiede nel modo in cui i programmi sopracitati elaborano le immagini in formato Png: a causa di due bug noti, è possibile eseguire codice arbitrario mediante immagini artatamente create.

Gli utenti MSN Messenger a rischio, se hanno accesso a Internet, hanno già ricevuto il suggerimento (ovviamente, da seguire) di installare la patch: nel bollettino emesso da Microsoft, si dice che “i clienti che non abbiano accettato l’upgrade possono non avere accesso al servizio MSN Messenger con una versione vulnerabile del client”.

Autore della scoperta è Juliano Rizzo di Core Security Technologies, cui si deve la dettagliata trattazione di un episodio che, con il senno di poi, non ha prodotto gravi danni.
Proprio per questo stupisce il fatto che Microsoft abbia assegnato il grado “critico” al bug, contraddicendo di fatto le spiegazioni fornite sui criteri di rating da Stephen Toulouse, program manager presso Microsoft Security Response Center, lo scorso dicembre.

La patch MS05-009 è relativa a vulnerabilità di un componente non-Microsoft (le librerie grafiche libpng), che ha sofferto di molti bug proprio nei giorni in cui Rizzo scopriva il bug legato alle applicazioni ora corrette e ne dava notizia a Microsoft: una delle due vulnerabilità è la stessa che Mozilla Foundation ha corretto ad agosto e Apple (se proprio si vuole parlare di un vendor di software a chiuso) a settembre.

E il bollettino del Cve-Mitre a suo tempo rilasciato sulla seconda delle due vulnerabilità di libpng in questione assegna univocamente la maglia nera all’azienda di Redmond, che ha impiegato sei mesi a correggere un vero e proprio “bug d’immagine”.