Ennesima vulnerabilità per i controlli ActiveX.

Di Dodi Casella.

Elazar Broad et Krystian Kloskowski, due specialisti in sicurezza, hanno riscontrato su Yahoo! Messenger (ma anche su MySpace e Facebook) un bug dovuto ai controlli ActiveX, cioè quell'estensione che consente ai programmi predisposti di aggiungere funzionalità, comandi e talvolta semplificazione nei processi; almeno nelle intenzioni dei progettisti.

Oltre che in alcuni linguaggi di programmazione, le potenzialità di ActiveX possono essere importate in programmi predisposti, come ad esempio Internet Explorer che le usa quasi costantemente; e guai a disattivarle, pena la mancata esecuzione di un discreto numero di funzioni talora essenziali.

I due ricercatori hanno recentemente descritto la vulnerabilità su un blog dedicato alla sicurezza online della Aurigma, una consociata di Microsoft, sostenendo -in soldoni- che l'exploit poteva agire sovrapponendosi alla memoria tampone che dovrebbe interferire bloccando il sistema.

Rimedio sovrano suggerito: bloccare ActiveX, in attesa dell'opportuna patch; oppure disattivare almeno, quando possibile, il modulo per il download di immagini nei programmi interessati.

Le aziende interessate ovviamente hanno assicurato di essersi subito messe al lavoro per eliminare il problema, ovviamente rassicurando gli utenti anche perché pare che se ne stiano occuopando gli esperti dell'Internet Storm Center (SANS), che comunque ha messo online un'utility che dovrebbe evitare l'errore, quanto meno per gli utenti di Facebook e MySpace. Per Yahoo! invece non ci sono ancora patch disponibili.

ActiveX, la tecnologia ideata da Microsoft per aggiungere funzioni ed espandere le funzionalità dei programmi, può essere all'origine di malfunzionamenti e può mettere a rischio la sicurezza dei dati; ma vale la pena ricordare che per i pirati informatici ci sono tante altre opportunità e che i controlli ActiveX non sono all'origine di tutti i mali.

Dodi Casella.