IE vittima dei download silenti

In Internet Explorer Ŕ stata scoperta una vulnerabilitÓ utilizzabile per aggirare il meccanismo di sicurezza dei download, incluso quello integrato nell'SP2 per Windows XP. Nuova patch in vista?

Roma - Sfruttando una vulnerabilitÓ contenuta nel meccanismo di protezione dei download di Internet Explorer, un malintenzionato potrebbe scaricare un file malevolo sul PC di un utente senza che questi se ne accorga.

A scoprire la debolezza Ŕ stato un hacker che si fa chiamare Rafel Ivgi, lo stesso che, in questo advisory, ha pubblicato il codice sorgente dell'exploit con cui Ŕ possibile sfruttare la falla: Microsoft, come noto, Ŕ fortemente contraria alla divulgazione dei dettagli relativi a falle ancora senza patch.

Il problema di sicurezza, confermato da Symantec, interessa anche la versione di IE contenuta nel Service Pack 2 per Windows XP. Un aggressore pu˛ sfruttare la vulnerabilitÓ creando un documento HTML che, una volta aperto o cliccato, avvia il download di un file senza mostrare la classica finestra di conferma: in questo modo un sito Web malevolo potrebbe diffondere, ad esempio, virus e altri tipi di malware.
La falla non pu˛ essere utilizzata per eseguire un file, tuttavia il timore degli esperti di sicurezza Ŕ che i cracker se ne possano servire in congiunzione con altri bug di IE.

Microsoft non ha ancora rilasciato commenti ufficiali in merito al problema.

All'inizio di gennaio sono state scoperte due vulnerabilitÓ anche nei browser Mozilla e Firefox, tra cui una utilizzabile da un sito malevolo per mascherare, nella finestra di dialogo dei download, la vera origine di un file.
TAG: microsoft
62 Commenti alla Notizia IE vittima dei download silenti
Ordina
  • Prima di pubblicare notizie come queste mi preoccuperei di verificare che siano vere.
    Per capire come questa non lo sia basterebbe leggersi http://support.microsoft.com/default.aspx?scid=kb;...
    [...]
    Richieste di conferma di download automatici
    In Windows XP SP2 le richieste di conferma per i download di file avviati automaticamente vengono visualizzate nella barra delle informazioni.
    [...]
    Come dice l'articolo, l'information bar blocca i download AUTOMATICI. Quindi se un utente clicca da qualche parte, il download non è automatico e giustamente l'information bar non lo blocca!

    Qualcuno poi mi spiega dov'è che Symantec conferma la vulnerabilità? Su http://securityresponse.symantec.com/avcenter/secu...
    non c'è proprio nulla che parli di questo.

    Un'ultima annotazione: sicuramente non sarò capace di scrivere pagine HTM, ma copiando il codice in questione in una pagina, apportando le modifiche che l'autore suggerisce, e correggendo i diversi errori che contiene non sono ancora riuscito a riprodurre nulla...
    non+autenticato
  • > Come dice l'articolo, l'information bar
    > blocca i download AUTOMATICI. Quindi se un
    > utente clicca da qualche parte, il download
    > non è automatico e giustamente
    > l'information bar non lo blocca!
    Be, cliccare per sbaglio in un punto qualunque della pagina non è proprio come cliccare su un link volontariamente!
    Basterebbe mettere una innoqua textbox per indurre l'utente a cliccare, e poi scusa, un link è un link, un non link è un non link, l'utente può fare attenzione ai link che clicca ma mi sembra assurdo che debba smazzarsi il codice della pagina per controllare che un evento mouse malgestito non gli scarichi della m*** nel sistema!
    Ma nn ti preoccupare, come si diceva più sopra, non è un bug, è una utile funzione per scaricare roba senza doversi sbattere a cercare di cliccare sui link!
    non+autenticato
  • Mi chiedevo una cosa.
    Volendo evitare, software proprietari, spyware, e rimanendo sul gratuità (totale, non parlo di shareware o roba simile) cosa potrei istallare?

    NB: resta inteso che non posso passare a linux perchè condivido il pc con i miei genitori che nn intendono rinunciare a windows.

    non+autenticato
  • se hai preso anke in considerazione di passare a linux ma non vuoi stravolgere il tuo pc prova knopils,una versione live del noto pinguino ke fa il boot dal cd e non intacca le installazioni win...
    non+autenticato
  • - Scritto da: Anonimo
    > Mi chiedevo una cosa.
    > Volendo evitare, software proprietari,
    > spyware, e rimanendo sul gratuità
    > (totale, non parlo di shareware o roba
    > simile) cosa potrei istallare?

    Firefox
    Thunderbird
    Miranda IM
    UltraVNC

    Comunque, puoi sempre usare il dual boot oppure un live cd.
    Prova questo, se vuoi passare a qualcosa di serio.
    http://www.freesbie.org/
    Lo sto facendo girare su portatile PIII 450 con 256mb di ram. E funziona bene.


  • - Scritto da: Anonimo
    > Mi chiedevo una cosa.
    > Volendo evitare, software proprietari,
    > spyware, e rimanendo sul gratuità
    > (totale, non parlo di shareware o roba
    > simile) cosa potrei istallare?

    Le prime cose che mi vengono in mente:

    OpenOffice
    Gimp
    CDex
    Firefox
    Thunderbird
    Sunbird
    Syn
    Antivir
    Roxio firewall
    ad-aware
    7zip
    IrfanView


    Qualche link:

    http://linuxshop.ru/linuxbegin/win-lin-soft-italia...
    http://www.snapfiles.com/freeware/freeware.html
    http://gnuwin.epfl.ch

    > NB: resta inteso che non posso passare a
    > linux perchè condivido il pc con i
    > miei genitori che nn intendono rinunciare a
    > windows.

    Puoi sempre fare un dual boot...
    non+autenticato

  • - Scritto da: Anonimo

    > Le prime cose che mi vengono in mente:
    >
    > OpenOffice

    L'ho giusto scaricato, ora lo devo provare... ti faccio sapere anche se in molti ne parlano male...


    > Thunderbird

    No ecco, thunderbird è ancora troppo acerbo. Suggerisco eudora con ads, decisamente tre autogrill avantiA bocca aperta:D

    Per il resto concordo.


    DotF


  • - Scritto da: Dem-f
    >
    > - Scritto da: Anonimo
    >
    > > Le prime cose che mi vengono in mente:
    > >
    > > OpenOffice
    >
    > L'ho giusto scaricato, ora lo devo
    > provare... ti faccio sapere anche se in
    > molti ne parlano male...
    >
    in tanti mi parlano male anche di winduws, tuttavia facio ancora fatica a migrare a linux...
    sai poi bisogna anche sapere se quelli che te ne parlano male hanno cacciato i 250 per m$(?)office o no...
    cmq la 2 è molto molto promettente

    >
    > > Thunderbird
    >
    > No ecco, thunderbird è ancora troppo
    > acerbo. Suggerisco eudora con ads,
    > decisamente tre autogrill avantiA bocca aperta:D
    >

    eudora è bello e concordo con tb acerbo tuttavia gli ads non mi sono mai piaciuti...
    allora mi tengo tb che con le estensioni e filtri ben settati mi inizia anche a piacere
    non+autenticato
  • grazie a tutti dei consigli
    non+autenticato
  • IE è il browser più sicuro visto che vengono patchate una dopo l'altra tutte queste vulnerabilità. Quindi alla fine avremmo un browser a prova di proiettili.
    non+autenticato

  • - Scritto da: Anonimo
    > IE è il browser più sicuro
    > visto che vengono patchate una dopo l'altra
    > tutte queste vulnerabilità. Quindi
    > alla fine avremmo un browser a prova di
    > proiettili.

    Intanto che tu aspetti la fine noi evitiamo i proiettili utilizzando un browser più sicuro già da ora...
    non+autenticato
  • 2005-01-13:     Multiple IMAP Client Integer Overflow Vulnerabilities
         2005-01-11:     Mozilla/Netscape/Firefox Browser Modal Dialog Spoofing Vulnerability
         2005-01-05:     Mozilla Browser Network News Transport Protocol Remote Heap Overflow Vulnerability
         2005-01-05:     Mozilla Temporary File Insecure Permissions Information Disclosure Vulnerability
         2005-01-05:     Multiple Browser IMG Tag Multiple Vulnerabilities
         2005-01-05:     Mozilla Firefox Download Dialogue Box File Name Spoofing Vulnerability
         2005-01-05:     Mozilla Firefox Insecure Default Installation Vulnerability
         2005-01-04:     Mozilla/Firefox File Download Dialog Spoofing Vulnerability
         2004-12-08:     Mozilla Browser and Mozilla Firefox Remote Window Hijacking Vulnerability
         2004-12-07:     Mozilla/Netscape/Firefox Browsers JavaScript IFRAME Rendering Denial Of Service Vulnerability
         2004-12-01:     LibPNG Graphics Library Multiple Remote Vulnerabilities
         2004-11-25:     Mozilla Browser Infinite Array Sort Denial Of Service Vulnerability
         2004-11-25:     Mozilla Camino Web Browser Infinite Array Sort Denial Of Service Vulnerability
         2004-11-25:     Mozilla Firefox Infinite Array Sort Denial Of Service Vulnerability
         2004-11-23:     Mozilla Bugzilla Multiple Authentication Bypass and Information Disclosure Vulnerabilities
         2004-11-01:     Mozilla Browser Cross-Domain Dialog Box Spoofing Vulnerability
         2004-10-27:     Mozilla Multiple URI Processing Heap Based Buffer Overflow Vulnerabilities
         2004-10-27:     Mozilla/Firefox Browsers Unauthorized Clipboard Contents Disclosure
         2004-10-27:     Mozilla Browser Vcard Handling Remote Buffer Overflow Vulnerability
         2004-10-27:     Mozilla Browser BMP Image Decoding Multiple Integer Overflow Vulnerabilities
         2004-10-27:     Mozilla/Firefox Browsers URI Drag And Drop Cross-Domain Scripting Vulnerability
         2004-10-27:     Mozilla Browser Non-FQDN SSL Certificate Spoofing Vulnerability
         2004-10-27:     Mozilla Firefox XML User Interface Language Browser Interface Spoofing Vulnerability
         2004-10-27:     Mozilla Browser Refresh Security Property Spoofing Vulnerability
         2004-10-27:     Multiple Vendor Internet Browser User Action Prediction/Interception Weakness
         2004-10-27:     Mozilla SSL Redirect Spoofing Vulnerability
         2004-10-27:     Mozilla Cross-Domain Frame Loading Vulnerability
         2004-10-27:     Mozilla Browser Cache File Multiple Vulnerabilities
         2004-10-27:     Mozilla Browser Input Type HTML Tag Unauthorized Access Vulnerability
         2004-10-27:     Mozilla Personal Security Manager Certificate Handling Denial Of Service Vulnerability
         2004-10-27:     Mozilla Browser/Thunderbird SendUIDL POP3 Message Handling Remote Heap Overflow Vulnerability
         2004-10-27:     Mozilla and Netscape SOAPParameter Integer Overflow Vulnerability
         2004-10-27:     Mozilla Browser Cookie Path Restriction Bypass Vulnerability
         2004-10-27:     Mozilla Browser Zombie Document Cross-Site Scripting Vulnerability
         2004-10-27:     Multiple Vendor S/MIME ASN.1 Parsing Denial of Service Vulnerabilities
         2004-10-26:     Mozilla Network Security Services Library Remote Heap Overflow Vulnerability
         2004-10-23:     Mozilla Multiple Memory Corruption Vulnerabilities
         2004-10-22:     Mozilla/Firefox Browsers PrivilegeManager EnablePrivilege Dialog Manipulation Vulnerability
         2004-10-22:     Mozilla Firefox XPInstall Default Installation File Permission Vulnerability
         2004-10-20:     Mozilla Browser Cross-Domain Tab Window Form Field Focus Vulnerability
         2004-10-18:     Mozilla Invalid Pointer Dereference Vulnerability
         2004-10-06:     Mozilla Firefox DATA URI File Deletion Vulnerability
         2004-10-05:     Multiple Browser Cross-Domain Cookie Injection Vulnerability
         2004-10-05:     Mozilla Browser Non-ASCII Hostname Heap Overflow Vulnerability
         2004-09-15:     Mozilla/Firefox Browsers Tar.GZ Archive Weak Permissions Vulnerability
         2004-08-27:     Mozilla/Netscape/Firefox Browsers XPCOM Plug-In For Apple Mac OSX Content Spoofing Vulnerability
         2004-08-23:     Mozilla External Protocol Handler Weakness
         2004-07-23:     Mozilla URI Sub-Directory Arbitrary Cookie Access Vulnerability
         2004-07-23:     Mozilla Browser Custom Getter/Setter Objects Same Origin Policy Violation Vulnerability
         2004-07-23:     Mozilla Browser Proxy Server Authentication Credential Disclosure Vulnerability
         2004-07-23:     Mozilla Browser Scope Cross-Domain Function Or Variable Disclosure Vulnerability
         2004-07-23:     Mozilla Browser Script.prototype.freeze/thaw Arbitrary Code Execution Vulnerability
         2004-07-12:     Multiple Mozilla Bugzilla Vulnerabilities
         2004-06-14:     Mozilla Browser URI Obfuscation Weakness
         2004-05-25:     Multiple Vendor URI Protocol Handler Arbitrary File Creation/Modification Vulnerability
         2004-04-15:     Mozilla Messenger Remote Denial Of Service Vulnerability
         2004-02-02:     Multiple Browser URI Display Obfuscation Weakness
         2004-01-20:     Mozilla Browser Cross Domain Violation Vulnerability
         2003-12-31:     Mozilla MailNews Client E-Mail Attachment Script Execution Vulnerability
         2003-12-31:     Mozilla Firebird Browser markLinkVisited Arbitrary Script Code Execution Vulnerability
         2003-12-31:     Mozilla Browser Default HTA Handling Weakness
         2003-12-11:     Mozilla Browser URI MouseOver Obfuscation Weakness
         2003-11-26:     Mozilla Chatzilla IRC URI Handler Memory Corruption Vulnerability
         2003-11-13:     Netscape/Mozilla JAR Remote Heap Corruption Vulnerability
         2003-09-15:     ChatZilla Remote Denial of Service Attack
         2003-09-08:     Multiple Vendor Web Browser LiveConnect JavaScript Denial Of Service Vulnerability
         2003-06-07:     Multiple Browser Timed Document.Write Method Cross Domain Policy Vulnerability
         2003-06-03:     Multiple Vendor Algorithmic Complexity Denial of Service Vulnerability
         2003-03-21:     Mozilla Bonsai Remote Command Execution Vulnerability
         2003-03-21:     Mozilla Bonsai Parameters Page Unauthenticated Access Weakness
         2003-03-21:     Mozilla Bonsai Path Disclosure Vulnerability
         2003-03-21:     Mozilla Bonsai Multiple Cross Site Scripting Vulnerabilities
         2003-02-13:     Mozilla XMLSerializer Same Origin Policy Violation Vulnerability
         2003-02-13:     Mozilla Space Key XPI Installation Vulnerability
         2003-02-13:     Mozilla document.open() Memory Corruption Denial of Service Vulnerability
         2003-02-13:     Mozilla Browser HTTP/HTTPS Redirection Weakness
         2003-02-13:     Mozilla OnUnload Referer Information Leakage Vulnerability
         2003-02-13:     Multiple Browser Zero Width GIF Image Memory Corruption Vulnerability
    non+autenticato
  • spero che nessuno ti risponda con le vulnerabilità per IE... non starebbero nel limite lei 7000 caratteri di un singolo post...
    non+autenticato
  • Io, invece, spero che rispondano. Perchè è ora di finirla con le chiacchiere da bar: ci vogliono dati, precisi, puntuali, aggiornati, ma soprattutto obbiettivi. Le vulnerabilità appartengono a tutti i programmi. Semplicemente quelli più utilizzati (odiati), studiati e diffusi sono più vulnerabili. Cerchiamo di essere tutti più sereni e obbiettivi. E poi ognuno usi ciò che crede. Con Windows XP + SP2 + Aggiornamenti automatici attivi + un antivirus aggiornato non saremo in una botte di ferro ma siamo sufficentemente tranquilli per navigare in Rete (a patto di non scaricare "ciarpame" vario; ma questo dipende da noi e non da zio Bill). E adesso non ditemi che comunque c'è la tal vulnerabilità in IE o OE che "se fai così, quando fuori piove, ci sono 5░, alzi la gamba destra ecc. ti entrano nel Pc, te lo formattano e ti rubano la fidanzata..."
    non+autenticato

  • - Scritto da: Anonimo
    > Io, invece, spero che rispondano.
    > Perchè è ora di finirla con le
    > chiacchiere da bar: ci vogliono dati,
    > precisi, puntuali, aggiornati, ma
    > soprattutto obbiettivi. Le
    > vulnerabilità appartengono a tutti i
    > programmi. Semplicemente quelli più
    > utilizzati (odiati), studiati e diffusi sono
    > più vulnerabili. Cerchiamo di essere
    > tutti più sereni e obbiettivi. E poi
    > ognuno usi ciò che crede. Con Windows
    > XP + SP2 + Aggiornamenti automatici attivi +
    > un antivirus aggiornato non saremo in una
    > botte di ferro ma siamo sufficentemente
    > tranquilli per navigare in Rete (a patto di
    > non scaricare "ciarpame" vario; ma questo
    > dipende da noi e non da zio Bill). E adesso
    > non ditemi che comunque c'è la tal
    > vulnerabilità in IE o OE che "se fai
    > così, quando fuori piove, ci sono 5░,
    > alzi la gamba destra ecc. ti entrano nel Pc,
    > te lo formattano e ti rubano la
    > fidanzata..."

    Beh fino a ieri l'altro era presente una bellissima falla in IE (SP2) che permetteva proprio questo......no non fregarti la fidanzata.....ma cancellarti il disco si!
    Inoltre tu mi parli di aggiornamenti, ma il post precedente riguardava TUTTE le vulnerabilità di mozilla (compresi firefox e mozilla suite) dal 2003
    vogliamo provare a metterci tutte quelle di IE dal 2003 a oggiAnnoiato
    So bene che una macchina aggiornata è sicura, resta il fatto che IE è marcio dalle fondamenta....e fanno finta di non vederlo

  • - Scritto da: Anonimo
    > Io, invece, spero che rispondano.
    > Perchè è ora di finirla con le
    > chiacchiere da bar: ci vogliono dati,
    > precisi, puntuali, aggiornati, ma
    > soprattutto obbiettivi. Le

    La maggior parte dei virus si propagano tramite IE e il suo degno compagno di merende OE.

    I dialer si installano tramite IE.

    Gli spyware si installano tramite IE.

    Gli ad-ware si installano tramite IE.

    Questi sono dati precisi, puntuali, aggiornati, e soprattutto obbiettivi. E sfido chiunque ad affermare il contrario.

    > vulnerabilità appartengono a tutti i
    > programmi. Semplicemente quelli più
    > utilizzati (odiati), studiati e diffusi sono
    > più vulnerabili. Cerchiamo di essere

    Lasciando la paranoia alla medicina, ed in particolare alla specializzazione di psichiatria, rimangono i motivi di utilizzo, studio e diffusione.

    Se fosse vero quello che dici allora per Apache dovrebbero esserci più vulnerabilità che per IIS. Pecchato che succeda il contrario...

    A parte questo IE e OE non intrinsecamente insicuri a causa di precise scelte e precise impostazioni di default. Le vulnerabilità sono solo un problema in più.

    Ad ogni modo se anche IE avesse le stesse vulnerabilità di Mozilla e Firefox una maggiore variabilità dei browser in circolazione renderebbe più difficile il propagarsi di virus e simili. Adesso invece basta fare un worm che sfrutta una vulnerabilità di IE per avere il 90% dell'utenza mondiale come potenziale 'cliente'.

    > tutti più sereni e obbiettivi. E poi
    > ognuno usi ciò che crede. Con Windows
    > XP + SP2 + Aggiornamenti automatici attivi +
    > un antivirus aggiornato non saremo in una
    > botte di ferro ma siamo

    1) I gentili possessori di un 56k sentitamente ringraziano.

    2) No. Non siamo comunque in una botte di ferro... e neppure di latta. Per rendere ragionevolmente sicuro Windows bisogna anche adottare una seria politica di multiutenza e di permessi. Peccato invece che il default deciso da Microsoft sia la stessa sicurezza di Windows 95, perchè altrimenti alla casalinga di Voghera devi spiegare troppe cose... e magari gli devi fornire pure un manuale degno di questo nome...

    non+autenticato
  • > 1) I gentili possessori di un 56k
    > sentitamente ringraziano.
    Beh linux e' peggio in quanto a patch perche essendo piu facile individuare i bug vengono corretti piu velocemente (per fortunaA bocca aperta)
    > 2) No. Non siamo comunque in una botte di
    > ferro... e neppure di latta. Per rendere
    > ragionevolmente sicuro Windows bisogna anche
    > adottare una seria politica di multiutenza e
    > di permessi. Peccato invece che il default
    > deciso da Microsoft sia la stessa sicurezza
    > di Windows 95, perchè altrimenti alla
    > casalinga di Voghera devi spiegare troppe
    > cose... e magari gli devi fornire pure un
    > manuale degno di questo nome...
    >
    Il manuale di Windows non è male ma non lo legge nessuno. E pultroppo non scende troppo in dettaglio.

    Fan LinuxFan Linux

    E cmq anche se Firefox avesse piu bug (cosa non vera) e' anche un browser piu giovane e con molte più funzioni di ie quindi meglio Firefox.
    non+autenticato
  • bravo....sottolineamo questa cosa...Firefox è alla prima versione!l'IE è ben alla sesta con vari SP e non ha ancora tutte le funzionalità del panda rosso.Non meno importante la velocità sui pc non di ultima generazione.Per chi crea siti web...apri una pagina con l'IE e vedrai tutt'altro che W3COcchiolino grazie Mozilla! Fan Linux
    non+autenticato

  • - Scritto da: Anonimo
    > > 1) I gentili possessori di un 56k
    > > sentitamente ringraziano.
    > Beh linux e' peggio in quanto a patch perche
    > essendo piu facile individuare i bug vengono
    > corretti piu velocemente (per fortunaA bocca aperta)
    > > 2) No. Non siamo comunque in una botte
    > di
    > > ferro... e neppure di latta. Per rendere
    > > ragionevolmente sicuro Windows bisogna
    > anche
    > > adottare una seria politica di
    > multiutenza e
    > > di permessi. Peccato invece che il
    > default
    > > deciso da Microsoft sia la stessa
    > sicurezza
    > > di Windows 95, perchè altrimenti
    > alla
    > > casalinga di Voghera devi spiegare
    > troppe
    > > cose... e magari gli devi fornire pure
    > un
    > > manuale degno di questo nome...
    > >
    > Il manuale di Windows non è male ma
    > non lo legge nessuno. E pultroppo non scende
    > troppo in dettaglio.

    Un momento, io non mi lamento sulla qualità del manuale. Mi lamento del fatto che non viene fornito insieme al sistema operativo.
    non+autenticato
  • Visto che lo hai richiesto due post più sotto...

    Advisory Mozilla:
    http://search.securityfocus.com/swsearch?query=moz...
    Risultati: 115

    Advisory Explorer:
    http://search.securityfocus.com/swsearch?query=exp...
    Risultati: 150

    Vulnerabilità Mozilla:
    http://search.securityfocus.com/swsearch?query=moz...
    Risultati: 130

    Vulnerabilità Explorer:
    http://search.securityfocus.com/swsearch?query=exp...
    Risultati: 466

    Fai pure i tuoi conti, tenendo presente che gli advisory sono le vulnerabilità corrette, mentre le vulnerabilità sono quelle ancora aperte...
    non+autenticato
  • prima ci impestano e poi ci disinfettano.
    Grande Microsoft, meglio che il Panda: "se non ci fosse bisognerebbe inventarla"
    non+autenticato
  • Attenzione: installando l'antivirus di MS si rischia che windows venga spazzato via, perchè riconosciuto come virus....:D
    non+autenticato

  • - Scritto da: Anonimo
    > Attenzione: installando l'antivirus di MS si
    > rischia che windows venga spazzato via,
    > perchè riconosciuto come virus....:D

    http://www.annoyances.org/exec/show/article09-115A bocca aperta:D
  • 22 Novembre 04 da Secunia a Mozilla Org.
    E' anche vero che confronto alle vulnerabilita' di explorer, quella di firefox e' veramente minima, ma non e' corretto dire che e' stata scoperta in gennaio 2005.

    http://secunia.com/secunia_research/2004-15/adviso.../
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 8 discussioni)