UICIECHI.IT: MAGGIO 2007 - Numero 5.
Windows Vista, arriva dalla e-mail il primo vero pericolo.
Di Guido Sintoni.
Mytech, 27/3/2007.
Arriva da Windows Mail, l'erede di Outlook Express, il primo serio rischio legato alla sicurezza per Microsoft Vista.
si tratta di un errore concettuale che può portare all'esecuzione di un file arbitrario in un contesto locale, aggirando le misure di sicurezza del sistema operativo per evitare simili azioni.
Autore della scoperta è un ricercatore che ha reso pubblici i risultati sulla mailing list Full Disclosure , una delle più popolari e attendibili. La spiegazione del bug è tutto sommato semplice:
"Il client di posta lancia un file se sul Pc esiste una cartella con lo stesso nome. Supponiamo che la vittima abbia una cartella nel disco C:\ chiamata Pippo e uno script di lancio chiamato Pippo.bat, anch'esso localizzato in ``C:\.
Se la vittima clicca su un link contenuto nel messaggio di posta che fa riferimento a C:\Pippo, lo script viene eseguito direttamente senza chiedere conferma".
Va da sé che, se non corretto, un simile bug può prestare il fianco a schemi d'attacco di una certa sofisticazione, nonché efficacia. La scoperta è stata confermata tanto da terze parti quanto dalla stessa Microsoft. Tra i primi, Security Focus - che fa capo a Symantec - conferma che "Windows Mail è soggetto a una vulnerabilità relativa all'esecuzione arbitraria di file locali, a causa di un errore di progettazione.
L'attaccante deve convincere la vittima ad aprire un link maligno usando l'applicazione vulnerabile".
Come al solito prudente e diplomatica la risposta di Microsoft:
"Stiamo analizzando il problema, e facciamo presente che al momento attuale nessun attacco che sfrutta l'eventuale bug si è realmente verificato".
La traduzione è semplice:
stiamo lavorando su una correzione. E probabilmente la rilasceremo nel consueto giro di patch del secondo martedì del mese.
Guido Sintoni.