Archivio » 2006 » giugno » mercoledì 28 »

Sicurezza: Microsoft, ecco l’exploit in libera uscita

Scritto da Guido Sintoni

Non ci voleva molto a immaginare che le proof of concept che hanno seguito a ruota il rilascio delle patch Microsoft di giugno si sarebbero trasformate, prima o poi, in exploit: in altri termini, il codice che comprova varie vulnerabilità di Windows (a uso e consumo dei ricercatori, senza intenti nocivi) è stato manipolato per creare veri e propri attacchi veicolati dal Web.

State sicuri Ne dà notizia la stessa Microsoft con un bollettino significativo proprio per le imperfezioni contenute.
L’azienda di Redmond parla infatti ancora di “proof of concept” per il componente Rras quando a tutti gli effetti quello in circolazione è un exploit, salvo poi correggere il tiro affermando che “l’exploit non colpisce gli utenti che hanno installato l’aggiornamento”. Segno che la linea di confine tra questi due tipi di codice - profondamente diversi da un punto di vista concettuale - è nella pratica molto sottile.

Conforta sapere che, questa volta, l’exploit segue la correzione (nel recente passato è spesso accaduto l’esatto contrario, e ancora adesso più vulnerabilità di Excel sono sfruttabili senza che sia stata ancora approntata una patch); un po’ meno sapere che, per stessa ammissione di Microsoft, la patch MS06-025 potrebbe essere incompatibile con alcune connessioni dial-up.

Chi non ha una connessione Adsl, quindi, e si collega a Internet con un tradizionale modem analogico, non deve installare la pezza e aspettarne una nuova, promessa da Microsoft e non ancora rilasciata. Ma tutto sommato poteva andare peggio.