IE, due bug all'ActiveX

Il browser di Windows si risveglia con due falle relative alla tecnologia ActiveX, entrambe sfruttabili per mandare in crash il browser e, in un caso, tentare di eseguire del codice da remoto

Roma - Pochi giorni fa il ricercatore di sicurezza H.D. Moore si è impegnato a rivelare, nel corso di luglio, almeno una nuova vulnerabilità dei browser al giorno. I primi due bug sono già stati svelati, e riguardano entrambi Internet Explorer.

La falla più grave, classificata da FrSIRT come "critical", è causata da un errore di heap overflow nel controllo ActiveX HTML Help (HHCtrl). Un malintenzionato potrebbe servirsene per creare una pagina web capace di mandare in crash il browser e, almeno in teoria, eseguire del codice da remoto.

Moore ha pubblicato sul proprio blog un exploit dimostrativo che, a suo dire, dovrebbe funzionare con tutte le versioni di IE 5 e 6. Sul PC della redazione lo script ha mandato in crash anche l'ultima beta di IE7, tuttavia si è dovuto prima autorizzare l'esecuzione del codice (come del resto avviene anche con IE6 SP2).
La seconda vulnerabilità, valutata da FrSIRT di basso rischio, è contenuta in un altro controllo ActiveX, il Microsoft Data Access (msado15.dll). In questo caso la debolezza può essere sfruttata esclusivamente per attacchi di denial of service.

L'exploit dimostrativo di quest'ultimo bug si trova qui e, come il precedente, dovrebbe mandare in crash tutte le versioni di IE.

Moore afferma di aver segnalato entrambi i bug a Microsoft lo scorso 6 marzo.
104 Commenti alla Notizia IE, due bug all'ActiveX
Ordina
  • Ho installato firefox e non mi funzionava più nulla!!! Il gestione risorse aveva rallentato in modo visibile!
    se questo è l'open io continuo a stare closed!!

    Rimuovendo firefox è tutto tornato come prima
    non+autenticato

  • - Scritto da:
    > Ho installato firefox e non mi funzionava più
    > nulla!!! Il gestione risorse aveva rallentato in
    > modo
    > visibile!
    > se questo è l'open io continuo a stare closed!!
    >
    > Rimuovendo firefox è tutto tornato come prima

    Interessante, calcolando che firefox non tocca nulla del sistema quando si intalla, soprattutto il registro.

    Prova ad installarlo su una chiavetta USB e vedi se il tuo mondo rallenta mentre e' inserita o mentre non lo e'; poi prova anche su un altro computer.

    La mia opinione al riguardo e' che tu menta sapendo di mentire, oppure non hai trovato il vero motivo del rallentamento del sistema.
    non+autenticato
  • > La mia opinione al riguardo e' che tu menta
    > sapendo di mentire, oppure non hai trovato il
    > vero motivo del rallentamento del
    > sistema.

    Quoto, non l'ha neanche provato secondo me! Bah...
    non+autenticato
  • Fonte secunia:

    I.E. 6.x (http://secunia.com/product/11/)
    Currently, 21 out of 105 Secunia advisories, are marked as "Unpatched" in the Secunia database.
    ------------------------------------------------
    Firefox 1.x (http://secunia.com/product/4227/)
    Currently, 4 out of 33 Secunia advisories, are marked as "Unpatched" in the Secunia datab

    Poi fai un po' tu...
    non+autenticato

  • - Scritto da:
    > Fonte secunia:
    >
    > I.E. 6.x (http://secunia.com/product/11/)
    > Currently, 21 out of 105 Secunia advisories, are
    > marked as "Unpatched" in the Secunia
    > database.
    > ------------------------------------------------
    > Firefox 1.x (http://secunia.com/product/4227/)
    > Currently, 4 out of 33 Secunia advisories, are
    > marked as "Unpatched" in the Secunia
    > datab
    >
    > Poi fai un po' tu...


    la conclusione è che sono merde entrambe, mi pare logico.
    non+autenticato

  • - Scritto da:
    >
    > - Scritto da:
    > > Fonte secunia:
    > >
    > > I.E. 6.x (http://secunia.com/product/11/)
    > > Currently, 21 out of 105 Secunia advisories,
    > > are marked as "Unpatched" in the Secunia
    > > database.
    > > ------------------------------------------------
    > > Firefox 1.x (http://secunia.com/product/4227/)
    > > Currently, 4 out of 33 Secunia advisories, are
    > > marked as "Unpatched" in the Secunia
    > > datab
    > >
    > > Poi fai un po' tu...
    >
    >
    > la conclusione è che sono merde entrambe, mi
    > pare logico.

    Eccone un altro che crede di scrivere codice privo di bug Rotola dal ridere
    non+autenticato

  • > > la conclusione è che sono merde entrambe, mi
    > > pare logico.
    >
    > Eccone un altro che crede di scrivere codice
    > privo di bug
    > Rotola dal ridere

    Che cosa c'entra?
    sono merde entrambe ugualmente.

    non+autenticato
  • Hai ragione. Lynx rules.Ficoso
    non+autenticato

  • - Scritto da:
    > Fonte secunia:

    Parti con il piede sbagliato. Secunia pubblica le falle per i prodotti open source solo dopo che è stata rilasciata una patch a meno che non siano banalità. Per sapere le falle di Firefox 1.5.0.4 devi attendere che rilascino 1.5.0.5
    non+autenticato

  • - Scritto da:
    > - Scritto da:
    > > Fonte secunia:

    > Parti con il piede sbagliato. Secunia pubblica
    > le falle per i prodotti open source solo dopo
    > che è stata rilasciata una patch a meno che non
    > siano banalità. Per sapere le falle di Firefox
    > 1.5.0.4 devi attendere che rilascino 1.5.0.5

    Guarda che era Microsoft quella della security by oscurity...
    non+autenticato
  • - Scritto da:
    >
    > - Scritto da:
    > > Fonte secunia:
    >
    > Parti con il piede sbagliato. Secunia pubblica le
    > falle per i prodotti open source solo dopo che è
    > stata rilasciata una patch a meno che non siano
    > banalità. Per sapere le falle di Firefox 1.5.0.4
    > devi attendere che rilascino
    > 1.5.0.5

    Non ti viene il dubbio che forse abbiamo capito tutti e che sia tu che parli da solo ed hai troppi pregiudizi, dando per scontato un funzionamento di Secunia che esiste solo nella tua mente?
    -----------------------------------------------------------
    Modificato dall' autore il 04 luglio 2006 16.53
    -----------------------------------------------------------
  • Quindi tu che fai dici di si? PI è proprio alla frutta.
    non+autenticato

  • - Scritto da:
    > Quindi tu che fai dici di si? PI è proprio alla
    > frutta.
    Basta ragionare solo dal punto di vista dell'esperto però!!! Mettiti nei panni di un n4b del pc, uno che magari non sa far altro che aprire la E e cercare "download mp3" "programmi hacker" cosa ti aspetti che faccia? Magari si butta in qualche sito poco pulito che richiede l'installazione dell'A-x e lui, felice, pur di andar avanti lo attiva.
    Risultato? Un potenziale winzombie in più.
    In questo caso non riesco neanche a dare tutta la colpa a MS, un utonto ebete, come giustamente detto da qualcuno nell'altro topic, fa danni anche usando il pc più blindato del mondo.

  • - Scritto da: Alucard
    > Basta ragionare solo dal punto di vista
    > dell'esperto però!!! Mettiti nei panni di un n4b
    > del pc, uno che magari non sa far altro che
    > aprire la E e cercare "download mp3" "programmi
    > hacker" cosa ti aspetti che faccia? Magari si
    > butta in qualche sito poco pulito che richiede
    > l'installazione dell'A-x e lui, felice, pur di
    > andar avanti lo
    > attiva.

    Allora questo è possibile in ogni browser. Basta che l'utonto clicca di si per un plug-in, estensione, ecc.

    non+autenticato

  • - Scritto da:
    >
    > - Scritto da: Alucard
    > > Basta ragionare solo dal punto di vista
    > > dell'esperto però!!! Mettiti nei panni di un n4b
    > > del pc, uno che magari non sa far altro che
    > > aprire la E e cercare "download mp3" "programmi
    > > hacker" cosa ti aspetti che faccia? Magari si
    > > butta in qualche sito poco pulito che richiede
    > > l'installazione dell'A-x e lui, felice, pur di
    > > andar avanti lo
    > > attiva.
    >
    > Allora questo è possibile in ogni browser. Basta
    > che l'utonto clicca di si per un plug-in,
    > estensione, ecc.
    >
    >
    Infatti è quello che ho detto. La colpa è un po' di MS che fa roba ultrabuggata che potrebbe essere sfruttata anche da un bambino di 6 anni e un po' (solo un po') anche degli utonti che si buttano sul web senza neanche conoscerne i pericoli.

  • - Scritto da: Alucard
    > Infatti è quello che ho detto. La colpa è un po'
    > di MS che fa roba ultrabuggata che potrebbe
    > essere sfruttata anche da un bambino di 6 anni e
    > un po' (solo un po') anche degli utonti che si
    > buttano sul web senza neanche conoscerne i
    > pericoli.

    Non serve un bug per fare del male, basta una semplice estensione per firefox fatta per farti del male che sei sistemato anche se non ci sono falle
    non+autenticato

  • > Non serve un bug per fare del male, basta una
    > semplice estensione per firefox fatta per farti
    > del male che sei sistemato anche se non ci sono
    > falle

    TrollTroll occhiolinoTroll chiacchieroneTroll occhi di fuoriTroll di tutti i colori
    non+autenticato

  • - Scritto da:
    >
    > - Scritto da: Alucard
    > > Infatti è quello che ho detto. La colpa è un po'
    > > di MS che fa roba ultrabuggata che potrebbe
    > > essere sfruttata anche da un bambino di 6 anni e
    > > un po' (solo un po') anche degli utonti che si
    > > buttano sul web senza neanche conoscerne i
    > > pericoli.
    >
    > Non serve un bug per fare del male, basta una
    > semplice estensione per firefox fatta per farti
    > del male che sei sistemato anche se non ci sono
    > falle

    Basta anche che segui queste seplici istruzioni:

    Vai nella cartella documenti e cancella tutto.
    vai nella cartella windows e cancella tutti i .dll e tutti i .exe che trovi.
    Cancella ogni tuo dato personale e non.
    Butta via i CD di backup (questa e' piu' cattiva i soliti script non lo fanno Rotola dal ridere )
    non+autenticato
  • Perché, tu adoperi ancora un browser che utilizza gli ActiveX? Mi sa che sei tu alla frutta! A bocca aperta
    non+autenticato

  • - Scritto da:
    > Perché, tu adoperi ancora un browser che utilizza
    > gli ActiveX? Mi sa che sei tu alla frutta!
    >A bocca aperta

    Sei tu ad essere alla frutta dato che IE6 BETA2 ti avverte prima di eseguire un activex. IE7 beta invece devi prima autorizzare l'abilitazione di un dato activex, poi autorizzarlo ad eseguire.
    non+autenticato

  • - Scritto da:
    > Perché, tu adoperi ancora un browser che utilizza
    > gli ActiveX? Mi sa che sei tu alla frutta!
    >A bocca aperta

    Sei tu ad essere alla frutta dato che IE6 SP2 ti avverte prima di eseguire un activex. IE7 beta invece devi prima autorizzare l'abilitazione di un dato activex, poi autorizzarlo ad eseguire
    non+autenticato
  • Immagina lo scenario:

    1) ti colleghi alla banca dove hai il conto online digitando direttamente l'url nella barra degli indirizzi di Internet Exploder

    2) il browser ti avvisa che verrà installato un nuovo ActiveX

    3) accetti, altrimenti le transazioni online NON funzionano

    4) un tecnico programmatore che lavora per conto della banca ha modificato l'activex per carpirti i codici di accesso

    5) ti ciulano tutti i soldi dal tuo CC

    6) va a spiegare alla banca che c'è stato qualcosa di strano, la responsabilità della riservatezza dei codici è tutta tua...

    non+autenticato
  • Perchè per funzionare occorre autorizzare l'installazione di quell'ActiveX.
    non+autenticato
  • lo sanno tutti

    basta andare su secunia e contare i bug apert su ie, oe, xp

    c'è da mettersi le mani nei capelli

    non installi l'active ?
    c'è di meglio: stacchi la spina del modem
    non+autenticato

  • - Scritto da:
    > Perchè per funzionare occorre autorizzare
    > l'installazione di
    > quell'ActiveX.

    ActiveX : la peggiore fonte di guai della storia dell'informatica; non e' un caso che Norton Antivirus si rifiuta di partire se gli Active X sono disabilitati Rotola dal ridere
    non+autenticato

  • - Scritto da:
    > ActiveX : la peggiore fonte di guai della storia
    > dell'informatica;

    guarda che i plug-in e le estensioni di firefox hanno la stessa pericolosità di un activex. Se l'utonto installa una estensione rispondendo di si, hai lo stesso effetto di quando un utonto risponde di si su un activex
    non+autenticato
  • > guarda che i plug-in e le estensioni di firefox
    > hanno la stessa pericolosità di un activex. Se
    > l'utonto installa una estensione rispondendo di
    > si, hai lo stesso effetto di quando un utonto
    > risponde di si su un
    > activex

    Mi risulta che abbiano meno falle però... poi certo se mi installo l'estensione "formattami l'hard-disk".....Fan Linux
    non+autenticato

  • - Scritto da:
    > > guarda che i plug-in e le estensioni di firefox
    > > hanno la stessa pericolosità di un activex. Se
    > > l'utonto installa una estensione rispondendo di
    > > si, hai lo stesso effetto di quando un utonto
    > > risponde di si su un
    > > activex
    >
    > Mi risulta che abbiano meno falle però... poi
    > certo se mi installo l'estensione "formattami
    > l'hard-disk".....Fan Linux

    Non c'è bisogno che ti dica che vuole formattarti l'HD. l
    Una bella estensione "immaigini di bellezze nostrane" farebbe una strage tra gli utenti di FF esattamente come lo farebbe sotto forma di Activex di win.

    Il problema degli Activex non è la natura degli stessi, ma il fatto che, talvolta (troppo spesso), siano stati oggetto di exploit che permettevano di farli partire tramite javascript, anche in assenza di autorizzazioni e così via....
    questi ovviamente sono i veri bug, non il fatto che un ActiveX faccia 'phishing'.

    non+autenticato
  • L'activex e' forse la tecnologia piu' bacata cagata da Redmond, con centinaia di bachi corretti e altri ancora da correggere.
    Non fanno prima a levarla dai co**ioni? A bocca aperta
  • ...ritengo sia non tanto la vulnerabilità in se stessa, cui qualunque software non si può dichiarare esente (anche se a Redmond mi pare si esageri un po') ma che in 4 mesi dalla segnalazione ancora non ci abbiano messo una pezza.

  • - Scritto da: vannaraptus
    > ...ritengo sia non tanto la vulnerabilità in se
    > stessa, cui qualunque software non si può
    > dichiarare esente (anche se a Redmond mi pare si
    > esageri un po') ma che in 4 mesi dalla
    > segnalazione ancora non ci abbiano messo una
    > pezza.

    Quoto, nessun software può ritenersi sicuro al 100%, ma se pensiamo che ieri si scandalizzavano per delle falle in OpenOffice.org, corrette dopo pochissimo tempo anche se da una versione completa del programma (la patch sarà a breve...), dicendo di quanto facesse schifo l'oss.... Oggi questi signori che dicono? 4 mesi è un tempo buono per rilasciare una patch... due pesi due misure come sempre...PerplessoPerplesso
    non+autenticato
  • e pensa che c'è gente che corre a provare la beta di IE7, fidandosi ciecamente... mah
    non+autenticato

  • - Scritto da: vannaraptus
    > ...ritengo sia non tanto la vulnerabilità in se
    > stessa, cui qualunque software non si può
    > dichiarare esente (anche se a Redmond mi pare si
    > esageri un po') ma che in 4 mesi dalla
    > segnalazione ancora non ci abbiano messo una
    > pezza.

    Ma se una pagina web ti chiede di installare un activex tu che fai lo installi?
    non+autenticato

  • - Scritto da: vannaraptus
    > ...ritengo sia non tanto la vulnerabilità in se
    > stessa, cui qualunque software non si può
    > dichiarare esente (anche se a Redmond mi pare si
    > esageri un po') ma che in 4 mesi dalla
    > segnalazione ancora non ci abbiano messo una
    > pezza.

    1. RICHIEDE CHE L'UTENTE CONFERMI L'INSTALLAZIONE E L'ESECUZIONE DELL'ACTIVEX
    2. SE ANCHE L'UTONTO DICE DI SI, IL BROWSER CRASHA e BASTA
    non+autenticato
  • > 2. SE ANCHE L'UTONTO DICE DI SI, IL BROWSER
    > CRASHA e
    > BASTA

    La pagina dimostrativa cosa ti aspettavi che facesse, che ti formattasse l'hard-disk? La notizia dice "...entrambe sfruttabili per mandare in crash il browser e, in un caso, tentare di eseguire del codice da remoto..."
    non+autenticato

  • - Scritto da:
    > La pagina dimostrativa cosa ti aspettavi che
    > facesse, che ti formattasse l'hard-disk? La
    > notizia dice "...entrambe sfruttabili per mandare
    > in crash il browser e, in un caso, tentare di
    > eseguire del codice da
    > remoto
    ..."

    Se ricevi un allegato via e-mail con un virus tu che fai dici che vuoi aprirlo anche se il tuo client di posta ti avverte?
    non+autenticato
  • > Se ricevi un allegato via e-mail con un virus tu
    > che fai dici che vuoi aprirlo anche se il tuo
    > client di posta ti avverte?
    >

    OVVIAMENTE NO, però volevo solo dirti che il bug non consiste di certo nel solo fatto che ti crasha il browser, e se anche solo uno scemo darebbe il consenso per eseguire un ActiveX da una fonte sconosciuta una patch potrebbero pur rilasciarla visto che sono 4 mesi che la falla è stata segnalata non trovi?
    non+autenticato

  • - Scritto da:
    > se anche solo uno scemo
    > darebbe il consenso per eseguire un ActiveX da
    > una fonte sconosciuta una patch potrebbero pur
    > rilasciarla visto che sono 4 mesi che la falla è
    > stata segnalata non
    > trovi?

    Chi ha scoperto la falla avrebbe dovuto tacere e attendere il rilascio di una patch, il fatto che l'ha resa pubblica dimostra solo che cercava fama e gloria. Questi atteggiamenti sono da condannare.
    non+autenticato
  • > Chi ha scoperto la falla avrebbe dovuto tacere e
    > attendere il rilascio di una patch, il fatto che
    > l'ha resa pubblica dimostra solo che cercava fama
    > e gloria. Questi atteggiamenti sono da
    > condannare.

    Ah, allora siamo proprio alla frutta... Chi ha reso pubblica la falla lo ha fatto per svegliare Microsoft dal letargo. "Moore afferma di aver segnalato entrambi i bug a Microsoft lo scorso 6 marzo." che giorno è oggi ? il 4 luglio mi pare. Adesso chi è da condannare, colui che segnala in privato il 6 marzo che c'è una falla ed è costretto per farla correggere a pubblicare l'exploit 4 mesi dopo oppure la MS che finché non c'è qualche "vittima" le falle preferisce tenerle nascoste? suvvia....
    non+autenticato
  • > Chi ha scoperto la falla avrebbe dovuto tacere e
    > attendere il rilascio di una patch, il fatto che
    > l'ha resa pubblica dimostra solo che cercava fama
    > e gloria. Questi atteggiamenti sono da
    > condannare.

    Meheheh!!

    HD Moore che cerca fama e gloria!

    E' EVIDENTE che tu non sai chi è HD Moore, ma ti assicuro che nell'ambiente della sicurezza è MOLTO conosciuto: ha tenuto conferenze al DefCon, al BlackHat, all'InfoSec... praticamente ovunque.

    Il "non disclosure" è solo un trucco per metterla in quel posto agli utenti mentre l'azienda può cullarsi nella pseudosicurezza.

    Posso comprendere il "responsible disclosure" (e in alcuni casi il "full disclosure"): la Rain Forest Puppy Policy è un'ottima guida per queste cose.
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 7 discussioni)