Archivio » 2008 » giugno » martedì 3 »

Microsoft: “Windows sotto attacco a causa di Safari”

carpet bombing exploit explorer patch safari

Scritto da Guido Sintoni

Un problema di Apple Safari, unito a un bug di Explorer noto a Microsoft da più di un anno ma non ancora corretto, mette a rischio gli utenti Windows

Un bug di Safari, noto da una alcuni giorni, mette a rischio la sicurezza dei sistemi Windows: stavolta a sostenerlo non è, come quasi sempre accade, qualche ricercatore, ma Microsoft.

Questi i fatti: il problema del browser Web di casa Apple è stato scoperto alcuni giorni fa dal ricercatore Nitesh Dhanjani: “Safari non può essere configurato per ottenere il permesso dell’utente prima di scaricare un file“. Dhanjani ha pubblicato una proof-of-concept che scarica in automatico un gran numero di file nella directory predefinita di Safari, concludendo che “In questo modo si può scaricare malware sul desktop dell’utente senza il suo consenso“.

Sulle prime, sembrava che Apple avesse liquidato il caso come un problema legato più alla funzionalità che alla sicurezza (“Non stiamo trattando il caso come legato alla sicurezza, ma come una misura ulteriore per evitare download indesiderati”), ma una successiva scoperta del ricercatore israeliano Aviv Raff rendeva ben differente il quadro. Combinando il bug di Safari con uno di Internet Explorer, segnalato a Microsoft nel 2007 e non ancora corretto, si arriverebbe all’esecuzione arbitraria di codice remoto in maniera relativamente semplice. Per Raff, “sia quello di Safari che quello di Internet Explorer sono bug in sé non gravi che, messi insieme, determinano una vulnerabilità critica“.

Secunia ha descritto la vulnerabilità come “altamente critica”, e Microsoft ha diramato un bollettino su Technet al riguardo, che consiglia di “limitare l’uso di Safari fino a quando sarà rilasciato un aggiornamento appropriato da parte di Microsoft e/o Apple”. Secondo il bollettino, la vulnerabilità mette a rischio tutte le versioni di Windows XP e Vista: segno abbastanza tangibile che in quel di Redmond si stringono i tempi per una patch. Al momento in cui scriviamo, Apple non ha commentato ufficialmente la vicenda; per Raff, “Anche in caso di patch di Microsoft gli utenti Safari saranno ancora a rischio“.