Archivio » 2005 » giugno » giovedì 9 »

Hotmail, Microsoft scivola ancora sulla sicurezza

Scritto da Guido Sintoni

Tutto sugli antivirus_SONDAGGIO. Usi l’antispyware?

PARTECIPA AL SONDAGGIO. Usi l’antispyware?

Non c’è pace per Microsoft: basandosi sulla manipolazione dei cookie, sarebbe infatti possibile violare gli account di posta Hotmail. Duecento milioni di utenze potenzialmente a rischio, quindi?
La vicenda non è chiarissima, ma è certo che Microsoft ha aggiornato durante il fine settimana porzioni significative del sito Web dedicato a Msn Messenger per ovviare a una vulnerabilità di tipo cross site scripting. Con questo nome si indica la possibilità che un attaccante forzi un server Web all’invio di pagine con script nocivi appositamente creati, nei confronti di chi fruisce del servizio.

Protezioni! Autore della scoperta è un ventenne olandese, Alex De Vries, che ha pubblicato una dettagliata spiegazione a riguardo, sostenendo che - nonostante il lavoro di Microsoft - altre porzioni del sito Web di Msn sono a rischio.
Per De Vries, gli attaccanti possono iniettare script arbitrari (e ostili, ovviamente) sul sito Web di Msn facendo leva su bug di sicurezza noti (e la cosa già non deporrebbe a favore del colosso di Redmond). Una volta fatto ciò, è possibile redirigere gli utenti su pagine Web arbitrarie in cui i cookie degli utenti vengono carpiti dagli attaccanti stessi.
Una volta intercettati i cookie degli ignari utenti, gli attaccanti possono collegarsi all’account Hotmail delle vittime: il sistema di posta via Web pensa di essere in presenza di un utente legittimo già autenticatosi.

Microsoft ha scelto la via del “no comment” e della correzione semiclandestina, effettuata in fretta e furia. Per l’azienda si tratta del secondo episodio negativo nel giro di poche settimane, visto che pure il sito Web sudcoreano di Msn è stato bersaglio di attacchi mirati: sistemi (colpevolmente) non aggiornati distribuivano inconsapevolmente cavalli di Troia agli utenti collegati mediante un riquadro invisibile inserito nella pagina principale del sito Web.
A dimostrazione che, quando viene corretto - anche se in ritardo - un bug (in questo caso legato al tag “iframe”), non bisogna mai dimenticare di installare le patch.

PARTECIPA AL SONDAGGIO. Usi l’antispyware?