Archivio » 2005 » luglio » lunedì 4 »

Browser, periodo nero per Explorer

Scritto da Guido Sintoni

Sondaggio. Quale è il vostro browser preferito?SICUREZZA

SONDAGGIO. Quale è il vostro browser preferito?

Continua il periodo nero dei browser e di Microsoft Internet Explorer 6 in particolare.Firefox e il resto Mentre per Firefox (e Thunderbird sul fronte della posta elettronica) si preannuncia una nuova minor release, la 1.0.5, riveduta e corretta (nonché esente dalle possibilità di spoofing evidenziate da Secunia), per il browser di casa Microsoft piove sul bagnato. Non solo Explorer è a rischio spoofing, ma da oggi ufficialmente vulnerabile a un bug che, se sfruttato, può portare alla “completa presa di controllo del sistema”.
Il tutto a due settimane dal ciclo di pezze di giugno, che pure aveva riservato a Explorer una cura ricostituente grazie alla patch MS05-025 (che ne correggeva vulnerabilità “critiche”).

Sec Consult, autrice della scoperta, spiega chiaramente che Internet Explorer è fin troppo sensibile a controlli non-ActiveX, quali oggetti Com veicolati attraverso il tag “object”, e incapace di chiuderli correttamente. Con un risultato inequivocabile: il crash dell’applicazione. Sec Consult, attirandosi le ire di Microsoft, ha messo a disposizione uno script Cgi Perl in grado di ammutolire all’istante Explorer.
La reazione di Microsoft è stata più dialettica che pratica: l’azienda di Redmond ha ammesso il bug relativamente al solo oggetto Com javaprxy.dll, e suggerisce con un palliativo di elevare il livello di sicurezza del browser dal menu “Strumenti”.
Ricordando che l’energico innalzamento del livello di sicurezza di Explorer può portare a problemi di visualizzazione delle pagine Web che incorporano oggetti ActiveX (e Com), quella di Microsoft non sembra una soluzione convincente per una vulnerabilità che gli scopritori dichiarano essere “da tempo nota”: c’è da attendersi un’altra patch per Explorer, stavolta fuori programma?