Mytech, 12/4/2006.
http://www.mytech.it/computer/virus/articolo/idA028001065388.art.
Come prevedibile, la tornata di patch di aprile non riserva grandi sorrisi agli utenti Microsoft: troppe sono state le avvisaglie che, nelle scorse settimane, hanno preso di mira Explorer, con tanto di due exploit in libera uscita che hanno fatto (fortunatamente) meno danni del previsto, ma costretto Microsoft a incassare un mare di critiche non certo immotivate a causa del suo immobilismo (e delle patch rilasciate da terze parti ma non da Microsoft stessa).
Aprile consegna a Windows Update e ad analoghi strumenti tre patch critiche; una importante e una di rischio moderato, oltre all'immancabile Strumento per la rimozione del software dannoso.
Tra i componenti addizionali, una correzione per l'autenticazione via Http di Explorer 7 Beta 2: segno che nemmeno il browser Web di nuova generazione è immune da difetti (pur se va ricordato come esso non sia ancora una versione finale).
Tra le patch critiche, come già detto, è quella annunciata dal bollettino MS06-013 a fare la parte del leone: corregge ben nove vulnerabilità di Explorer 5 e 6 (per tutte le piattaforme, da Windows 98 fino a 2003 Server), e si aggiunge ai già preannunciati cambiamenti per la vicenda legata ai brevetti di Eolas.
Otto delle dieci vulnerabilità corrette in Explorer portano alla completa presa di possesso di un sistema non aggiornato: in tutti i casi, bisogna forzare l'utente a visitare una pagina Web maligna. Secondo Microsoft, tre dei dieci bug corretti dall'aggiornamento erano già noti prima del rilascio della patch, e un solo exploit sarebbe in libera circolazione: questo non è certo motivo di consolazione (tutt'altro), anche perché c'è chi sostiene (Symantec, non certo un nome di secondo piano) che l'affermazione di Microsoft sia stata più prudenziale che veritiera.
Le altre due vulnerabilità critiche riguardano, rispettivamente, un controllo ActiveX distribuito con Mdac, un componente di Windows legato ai database che è parte integrante della famiglia Windows 2000/Xp/2003 (bollettino e nella shell di Windows (bollettino MS06-015):
in ambo i casi basta una pagina Web o una mail Html appositamente creata per portare alla presa di possesso del sistema vulnerabile.
Una vulnerabilità "importante" riguarda Outlook Express (bollettino MS06-016):
un file contenente i contatti della rubrica (con estensione.wab) appositamente creato può portare all'esecuzione arbitraria di codice. Meno pericoloso è il bug descritto dal bollettino MS06-017:
riguarda FrontPage (lo strumento Microsoft per la costruzione di siti Web) e può portare al cross-site scripting, ovvero all'eseguire codice nella sessione di esplorazione di un sito Web aperta da un utente, all'insaputa di quest'ultimo.Mano, quindi, a Windows Update (o strumento simile): e appuntamento al 9 maggio per la prossima tornata di patch per Windows e altri prodotti Microsoft.
Guido Sintoni.
Per tornare all'indice, premi alt piu' freccia sinistra.