MSN Messenger e IE, il crash è servito

Alcuni esperti di sicurezza hanno scoperto che, attraverso due diversi bug, è possibile far crashare MSN Messenger, Internet Explorer e Outlook Express. Si temono attacchi vandalici in attesa della patch

MSN Messenger e IE, il crash è servitoRoma - Quasi contemporaneamente, e da diverse fonti, arriva la notizia che MSN Messenger e Internet Explorer sono afflitti da un baco che ne può causare il crash. Sebbene al momento nessuno di questi due bug sembra comportare rischi diretti per la sicurezza degli utenti, gli esperti temono che la facilità con cui possono essere sfruttati possa stuzzicare l'appetito dei ciber-vandali.

Il primo baco, quello di MSN Messenger, è stato descritto dalla risorsa MSFanatic.com e sembra riguardare tutte le più recenti versioni del noto sparamessaggini di Microsoft, incluso Windows Messenger. Il problema sarebbe legato ad un buffer overflow contenuto nella gestione delle intestazioni dei messaggi.

Come spiegato da MSNFanatic.com, il bug può essere sfruttato confezionando un messaggio ad hoc che contenga, nel campo riservato al font dell'intestazione di un messaggio, una stringa di caratteri che superi la capacità del buffer. Eccone un esempio:
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
X-MMS-IM-Format: FN=Times%20%20%20%20%20%20%20%20%20%20
%20%20%20%20%20%20%20%20%20%20%20%20
%20%20%20%20%20%20%20%20%20%20%20%20
%20New%20%20%20%20%20%20%20%20%20%20
%20%20%20%20%20%20%20%20%20%20%20%20
Roman%20%20%20%20%20%20%20%20%20%20%20; EF=B; CO=ff; CS=0; PF=22

Ciao, ecco un messaggio col botto
Come si può notare, nel campo "FN=Times", che specifica il tipo di font utilizzato nel messaggio, sono stati aggiunti una certa quantità di spazi (codificati con %20) che mandano in overflow il buffer e causano il crash di MSN Messenger.

"Questa falla è un grosso pericolo - commenta MSNFanatic.com - visto che non è così difficile, per un hacker (sic), usarla nelle proprie applicazioni".

Il bug non sembra affliggere Trillian, il noto sparamessaggini open source in grado di veicolare messaggi anche sulla rete di MSN. Lo scopritore della falla, un certo |M|K, sostiene di aver avvisato Microsoft del problema diverso tempo fa.

Su MSNFanatic.com è anche possibile scaricare, in attesa che Microsoft corregga il problema, un piccolo tool per proteggersi dal baco crasha-Messenger. Non provenendo da una fonte ufficiale, si consiglia di eseguire questo programma con le dovute cautele.
TAG: sicurezza
63 Commenti alla Notizia MSN Messenger e IE, il crash è servito
Ordina
  • Spino......rompi tanto le balle quando esce un patch da Apple , mi sembra però che Microsoft sia Leader in bachi, patch, skifezze varie, ecc.
    Però se lo fa Microsoft va bene vero?
    non+autenticato
  • Il baco di Messenger e' exploitabile? Non ho trovato informazioni in merito..
    non+autenticato
  • dipende da quel che intendi, fa crashare MSN ma nn credo possa essere sfruttabile x ottenere accesso alla macchina.. piu che altro se qualcuno ha trovato o sviluppato un tool x far crashare MSN e rompere un pò le scatole.. me lo faccia sapere, avrei una mezza voglia di divertirmi contro qualche rompiscatole che mi flodda e impalla tutto a ripetizioneOcchiolino
    non+autenticato
  • Perfortuna io sono uno dei fortunati che utilizza sistemi Mac!!!!
    Mi dispiace per tutti voi poveri windows-nauti.
    Se accettate un consiglio...passate a Mac prima che sia troppo tardi!!
    non+autenticato


  • - Scritto da: Dan
    > Perfortuna io sono uno dei fortunati che
    > utilizza sistemi Mac!!!!
    > Mi dispiace per tutti voi poveri
    > windows-nauti.
    > Se accettate un consiglio...passate a Mac
    > prima che sia troppo tardi!!

    messenger, IE ed outlook sono disponibili anche su Mac...

    aloah
    non+autenticato


  • - Scritto da: penetrator

    >
    > messenger, IE ed outlook sono disponibili
    > anche su Mac...
    >

    ma perchè uno che non se li ritrova preinstallati dovrebbe farsi del male? ^__-
    non+autenticato
  • Mi sa che non sei molto informato... I software di Bill ora sono PREINSTALLATI anche su Mac... quindi Explorer te lo cucchi subito.
    non+autenticato
  • Solo IE, né MSMessenger né LookOut
    non+autenticato
  • ...ma ti chiami così perchè sei stato penetrator da Microsoft.... beh siete in molti a quanto pare...!!!!
    non+autenticato
  • > ...ma ti chiami così perchè sei stato
    > penetrator da Microsoft.... beh siete in
    > molti a quanto pare...!!!!

    da come ne parli devi sapere bene come funziona la cosa....

    orwuar
    non+autenticato
  • - il computer và in crash se gli si toglie la spina della corrente;
    - giocando con la linguetta del floppy si danneggia la superficie del floppy stesso;
    - togliendo il cavo di rete non si vedono più gli altri pc e non si naviga in rete;


    ... Occhiolino
    non+autenticato


  • - Scritto da: Stefano Mecchia
    > - il computer và in crash se gli si toglie
    > la spina della corrente;

    Non è vero: l'ho appena fatto col mio
    portatile Con la lingua fuori



    Piuttosto, perchè non fanno + i PC con gli interruttori "reali" (ON/OFF)????

    non+autenticato
  • avrai capito la provocazione, no ?!
    Ogni software presenta bachi e/o svantaggi funzionali nell'uso; bisogno solo vedere se l'utilizzo ti ripaga di alcune manchevolezze. Per quel che mi riguarda (opinione strettamente personale) MSN Messengere funziona adeguatamente. Poi...libertà di scelta !
    non+autenticato


  • - Scritto da: Stefano Mecchia
    > avrai capito la provocazione, no ?!

    si ^__^


    > Ogni software presenta bachi e/o svantaggi
    > funzionali nell'uso; bisogno solo vedere se
    > l'utilizzo ti ripaga di alcune
    > manchevolezze

    CMQ lo rivoglio davvero l'interruttore old style!
    non+autenticato

  • - Scritto da: SiN
    > CMQ lo rivoglio davvero l'interruttore old
    > style!

    Ahimè non fanno più computer come il c64...!
    non+autenticato
  • > CMQ lo rivoglio davvero l'interruttore old
    > style!

    Comprati una bella multipresa con l'interruttore
    e quando vuoi spegnare gli dai una bella pedata!
    non+autenticato


  • - Scritto da: Bi
    > > CMQ lo rivoglio davvero l'interruttore old
    > > style!
    >
    > Comprati una bella multipresa con
    > l'interruttore
    > e quando vuoi spegnare gli dai una bella
    > pedata!

    E X il portatile? Stacco la batteria?


    non+autenticato

  • > Messengere funziona adeguatamente.
    > Poi...libertà di scelta !

    Che significa? Tu (immagino) giudichi MSN Mess. dalla sua GUI, da quanto è user-friendly, dalla sua funzionalità. Qui stiamo parlando del fatto se è scritto bene o no, se il suo codice è stato programmato in modo sicuro, se ilprotocollo è forte o pieno di buchi.

    Finchè si trovano bug exploitabili, come fai a dire che "funziona adeguatamente"?
    non+autenticato
  • > Che significa? Tu (immagino) giudichi MSN
    > Mess. dalla sua GUI, da quanto è
    > user-friendly, dalla sua funzionalità. Qui
    > stiamo parlando del fatto se è scritto bene
    > o no, se il suo codice è stato programmato
    > in modo sicuro, se ilprotocollo è forte o
    > pieno di buchi.
    >
    > Finchè si trovano bug exploitabili, come fai
    > a dire che "funziona adeguatamente"?

    finche' non ricevo nessun danno dall'exploit...
    e magari nel frattempo esce la patch.
    Penso lui intendesse dire che trova le funzionalita' di MSN messenger adeguate ai suoi bisogni.

    hola
    non+autenticato


  • - Scritto da: Stefano Mecchia
    > - il computer và in crash se gli si toglie
    > la spina della corrente;
    > - giocando con la linguetta del floppy si
    > danneggia la superficie del floppy stesso;
    > - togliendo il cavo di rete non si vedono
    > più gli altri pc e non si naviga in rete;
    >
    >
    > ... Occhiolino

    e stato scoperto inoltre che se compri un pc con un qualsiasi sistema operativo ai il 100% di probabilita che almeno un programma e affetto da un baco.

    a RAGA STATE AD ESAGGERA
    non+autenticato
  • Salvati tutti i dati di interesse si ricorra al comando di formattazione dell'hard disk. Fatto questo si installi sul suddetto Linux Mandrake 8.2 con tutti i suoi aggeggini. Da quel momento si sara' protetti contro buchi e virus.

    (c) TotalSolutions Inc.
    non+autenticato
  • altre soluzioni possono essere: disinstallare il messenger (e usare altri sistemi tipo icq), usare eudora al posto outlook e mozilla al posto di explorer. che problema c'è?
    non+autenticato
  • - Scritto da: georgesfiladini
    > disinstallare il messenger (e usare altri
    > sistemi tipo icq), usare eudora al posto

    http://miranda-icq.sourceforge.net/
    non+autenticato


  • - Scritto da: georgesfiladini
    > altre soluzioni possono essere:
    > disinstallare il messenger (e usare altri
    > sistemi tipo icq)
    Il problema e' toglierlo il messenger visto che e' integrato nel sistema Triste
    >, usare eudora al posto
    > outlook e mozilla al posto di explorer.
    Questo si e magari anche opera
    > che problema c'è?
    Il problema e' che grazie alla splendida integrazione di questi componenti con winzoz x l'utente alle prime armi non e' cosi facile cambiare
    non+autenticato
  • - Scritto da: pikappa
    > Il problema e' che grazie alla splendida
    > integrazione di questi componenti con winzoz
    > x l'utente alle prime armi non e' cosi
    > facile cambiare

    Secondo me il problema è rendersi conto che IE non è Internet ma sono uno dei tanti programmi per navigare o che Windows non è il computer ma solo un "programma" che ti permette di usarlo.
    Queste cose non interessano e non devono interessare ad un utente casalingo che naviga e scrive lettere alla nonna in Australia. Microsoft lo sa benissimo e aprofitta (secondo me ingiustamente, a volte) della sua posizione dominante per constringere anche chi vorrebbe cambiare a seguire la sua strada.
    non+autenticato


  • - Scritto da: A.C.
    > - Scritto da: pikappa
    > > Il problema e' che grazie alla splendida
    > > integrazione di questi componenti con
    > winzoz
    > > x l'utente alle prime armi non e' cosi
    > > facile cambiare
    >
    > Secondo me il problema è rendersi conto che
    > IE non è Internet ma sono uno dei tanti
    > programmi per navigare o che Windows non è
    > il computer ma solo un "programma" che ti
    > permette di usarlo.
    > Queste cose non interessano e non devono
    > interessare ad un utente casalingo che
    > naviga e scrive lettere alla nonna in
    > Australia. Microsoft lo sa benissimo e
    > aprofitta (secondo me ingiustamente, a
    > volte) della sua posizione dominante per
    > constringere anche chi vorrebbe cambiare a
    > seguire la sua strada.
    lo so benissimo e appunto l'integrazione di questi componenti con winzoz di fatto "obbliga" l'"utonto" ad usare quello che c'e' nel PC credendolo gi unici prog disponibili, se gli OEM fossero in grado di installare i prodotti che meglio credono al posto di quelli di M$ e cose inizierebbero a cambiare
    non+autenticato

  • > lo so benissimo e appunto l'integrazione di
    > questi componenti con winzoz di fatto
    > "obbliga" l'"utonto" ad usare quello che
    > c'e' nel PC credendolo gi unici prog
    > disponibili, se gli OEM fossero in grado di
    > installare i prodotti che meglio credono al
    > posto di quelli di M$ e cose inizierebbero a
    > cambiare

    gli OEM possono gia' installare qualsiasi cosa vogliono...
    licenza a parte, non gli conviene.
    Perche' con windows installano una sola cosa che ha tutto, senza dover pagare licenze per altri programmi o perdere tempo ad installarli.
    Non credo che all'OEM interessi se IE ha il 90% del mercato o il 70%.

    saluti

    non+autenticato


  • - Scritto da: Copyright
    > Salvati tutti i dati di interesse si ricorra
    > al comando di formattazione dell'hard disk.
    > Fatto questo si installi sul suddetto Linux
    > Mandrake 8.2 con tutti i suoi aggeggini. Da
    > quel momento si sara' protetti contro buchi
    > e virus.
    >
    > (c) TotalSolutions Inc.

    infatti vai su security focus inserisci mandrake
    e poi piangi.

    Raga non ve fate forvia dar linux, infondo chi lascia la via vecchia sa i buchi che lascia ma non sa le voraggini che trova
    non+autenticato
  • > infatti vai su security focus inserisci
    > mandrake
    > e poi piangi.



    > Raga non ve fate forvia dar linux, infondo
    > chi lascia la via vecchia sa i buchi che
    > lascia ma non sa le voraggini che trova

    1. La via vecchia è Unix. Windows è uno degli ultimi arrivati
    2. I bug segnalati si riferiscono a *migliaia* di pacchetti, non al solo sistema operativo. I big di Windows si riferiscono ad un parco di software molto, molto più ristretto (leggi: di solito, su Windows i programmi sono più "densamente buggati")
    3. I bug segnalati vengono corretti nel giro di pochi giorni. I tempi di attesa a cui costringe Microsoft sono enormemente più lunghi
    4. Si scrive "voragini", con una "g" solaOcchiolino
    5. Che noia, tocca dire sempre le stesse cose. Ma voi detrattori di Unix, non vi informate mai?
    non+autenticato
  • > 1. La via vecchia è Unix. Windows è uno
    > degli ultimi arrivati
    L'utente medio non usa certo Unix! Non era un discorso cronologico! ma davvero non hai capito?
    Cmq se la vuoi mettere sul piano cronologico, Linux è arrivato anche dopo Microsoft se per questo..

    > 2. I bug segnalati si riferiscono a
    > *migliaia* di pacchetti, non al solo sistema
    > operativo.

    Ma scusa guarda che quì stiamo appunto parlando di Messenger.. che è un pacchetto applicativo, non del sistema operativo..

    >I big di Windows si riferiscono

    I Big? Allora a quanto pare errori a scrivere ne fai anche tu...

    > ad un parco di software molto, molto più
    > ristretto (leggi: di solito, su Windows i
    > programmi sono più "densamente buggati")

    Bhè.. non è che windows abbia poco software,
    visto che lo usano il 90% degli utenti di PC..
    Per quanto riguarda la densità di bugs non ho dati in merito, però alcune cose bisogna tenere in conto:
    Il problema è che Microsoft crea programmi complessi e pieni di funzioni e sistemi per automatizzare..
    tipo script activeX ecc, questa complessita è già da se alla base di molte falle.
    Ma probabilmente è anche la grande quantità di persone che usa windows che fa saltare fuori molte falle, bugs ecc..

    > 4. Si scrive "voragini", con una "g" solaOcchiolino

    Mi pare che il tipo di cui hai commentato l'intervento scrivesse appunto in dialetto romano.. magari in quel dialetto è giusto così.
    del resto liquidare un intervento per un errore di scrittura, comprometterebbe anche il tuo post.
    (vedi sopra)

    > 5. Che noia, tocca dire sempre le stesse
    > cose.
    > Ma voi detrattori di Unix, non vi informate mai?

    Secondo me l'intervento di cui stiamo parlando voleva solo informare gli utenti che neppure il mondo *nix è rose e fiori.. e se non hai certe abilità ed esperienza Linux può essere anche + vulnerabile di windows! (almeno allo stato attuale delle cose, in seguito si vedrà)
    non+autenticato

  • - Scritto da: Copyright
    > Salvati tutti i dati di interesse si ricorra
    > al comando di formattazione dell'hard disk.
    > Fatto questo si installi sul suddetto Linux
    > Mandrake 8.2 con tutti i suoi aggeggini. Da
    > quel momento si sara' protetti contro buchi
    > e virus.

    Certo, poi i driver per le mie schede di acquisizione e il software di monatggio video me li scrivi tu, grazie.
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 10 discussioni)