Falla Javascript, molti browser a rischio

Una vulnerabilitÓ da poco scoperta pu˛ costituire un pericolo per tutti gli utenti, anche quelli protetti da un firewall, che usino un browser con supporto a Javascript

Roma - Tutti i browser integranti il supporto a Javascript contengono una vulnerabilitÓ di sicurezza nella funzionalitÓ "Same Origin Policy" del linguaggio di scripting, una vulnerabilitÓ che potrebbe aprire le porte ai cracker. L'avviso arriva dall'esperto di sicurezza Adam Megacz che, attraverso un dettagliato advisory, ha spiegato che l'exploit pu˛ consentire ad un aggressore di utilizzare qualsiasi browser capace di interpretare Javascript per rubare informazioni attraverso il comando HTTP GET e interagire con ogni server Web: questo anche nel caso in cui client e server siano protetti da un firewall.

Megacz ha scoperto la vulnerabilitÓ il 25 giugno e, con il supporto della celebre mailing list di sicurezza BugTraq, ne ha dato pronta notifica a tutti i vendor interessati e ha atteso fino ad ora prima di rendere la cosa di dominio pubblico.

Nel suo avviso Megacz ha specificato che se il browser in uso Ŕ Internet Explorer 5.0+, Mozilla o Netscape 6.2+, l'aggressore ha una chance in pi¨ di aggirare i firewall facendo chiamate dirette ai server Web che supportano SOAP e XML-RPC.
Per sfruttare la falla un aggressore deve indurre l'utente a visitare una certa pagina che si trovi nel suo stesso dominio di appartenenza (ad esempio, baz.com). Microsoft ha minimizzato la pericolositÓ del problema sostenendo che le possibilitÓ di un attacco di questo tipo sono assai remote dato che Ŕ necessario che l'aggressore controlli il dominio a cui appartiene l'utente: per questo motivo il big di Redmond non prevede al momento il rilascio di alcuna patch.
TAG: sicurezza
48 Commenti alla Notizia Falla Javascript, molti browser a rischio
Ordina
  • a prescindere che la risposta di microsoft e' quantomeno discutibile, comunque si fa prima con altri metodi....
    in pratica devono accadere queste cose:

    controlli il dns un dominio
    conosci la struttura di un sito protetto da firewall, ad esempio la intranet di un'azienda.
    convinci un interno dell'azienda a navigare su www.dominio.dom e, tramite javascript, in un frame nascosto carichi intranet.dominio.dom che hai provveduto a far puntare all'ip della intranet dell'azienda (che quindi devi conoscere).
    A quel punto lo script legge il contenuto del frame nascosto, lo encoda come fosse una url e lo invia ad una pagina dell'attacker che provvede al salvataggio, poi carica un'altra pagina nel frame nascosto e cosi' via...

    in pratica il massimo che puoi farti e' il mirror del sito, ma mi pare una cifra macchinoso...

    ciao
    non+autenticato
  • Questo è un ottimo banco di prova per verificare una volta di più quanto maggiormente efficiente sia la "macchina" open-source rispetto alla farraginosa ferraglia monopolista.

    Infatti il problema sembra affliggere tutti i browser attualmente in uso.

    Ci rivedremo qui alla prima correzione.

    non+autenticato


  • Ma hai letto qual'e' la pericolosita' o solo il titolo della notizia?

    - Scritto da: zap
    > Questo è un ottimo banco di prova per
    > verificare una volta di più quanto
    > maggiormente efficiente sia la "macchina"
    > open-source rispetto alla farraginosa
    > ferraglia monopolista.
    >
    > Infatti il problema sembra affliggere tutti
    > i browser attualmente in uso.
    >
    > Ci rivedremo qui alla prima correzione.
    >
    non+autenticato


  • - Scritto da: zap
    > Questo è un ottimo banco di prova per
    > verificare una volta di più quanto
    > maggiormente efficiente sia la "macchina"
    > open-source rispetto alla farraginosa
    > ferraglia monopolista.
    >
    > Infatti il problema sembra affliggere tutti
    > i browser attualmente in uso.
    >
    > Ci rivedremo qui alla prima correzione.
    >



    L'aricolo si riferisce a tutti i browser, Internet Explorer 5.0+, Mozilla o Netscape 6.2+, anche Opera

    Noi non abbiamo di questi problemi utilizzando un sistema Solaris Sunspark con un browser dedicato ad hoc, mi dispiace per voi che state facendo i botti nei vostri ufficetti con Microsofct, Linuz, e compagnia bella


    non+autenticato
  • - Scritto da: Dedalus
    > utilizzando un sistema Solaris Sunspark con

    LOL... cos'è Sunspark?Sorride
    non+autenticato


  • - Scritto da: il matto
    > - Scritto da: Dedalus
    > > utilizzando un sistema Solaris Sunspark
    > con
    >
    > LOL... cos'è Sunspark?Sorride


    Mai sentito parlare di Sun Ultra Spark?


    Dicasi Ultra Spark, un nuovo meraviglioso e potente processore di sistema, proietta Sun di nuovo in testa alla classifica della velocità di elaborazione, almeno per un certo tempo. ╚ possibile mettere 192 Ultra Spark su un singolo microcircuito da un milione di transistori, in altre parole la potenza e l'intelligenza di elaborazione diventeranno onnipresenti nell'economia mondiale. Tra non molto ci saranno milioni di supercomputer in tutto il mondo. Sarà possibile mettere 21 DMS100 o cinque ISS centrali di commutazione per uffici su un singolo microcircuito da un milione di transistori.





    non+autenticato
  • Si scrive "Sparc"
    non+autenticato
  • D> Noi non abbiamo di questi problemi
    D> utilizzando un sistema Solaris Sunspark con
    D> un browser dedicato ad hoc, mi dispiace per
    D> voi che state facendo i botti nei vostri
    D> ufficetti con Microsofct, Linuz, e compagnia
    D> bella
    A parte che "kissenefrega", con risata su SLOWlaris... in un mondo dove standard e' (o dovrebbe essere) sinonimo di comunicazione, liberta' di scelta, interoperabilita' e vantaggi per gli utenti/clienti il tuo browser "AD HOC" e', come dire?, anacronistico!?!
    non+autenticato
  • dopo il windosaro e il linuxaro, una nuova specie...

    > Noi non abbiamo di questi problemi
    > utilizzando un sistema Solaris Sunspark con
    > un browser dedicato ad hoc, mi dispiace per
    > voi che state facendo i botti nei vostri
    > ufficetti con Microsofct, Linuz, e compagnia
    > bella
    >
    >
    non+autenticato
  • > Questo è un ottimo banco di prova per
    > verificare una volta di più quanto
    > maggiormente efficiente sia la "macchina"
    > open-source rispetto alla farraginosa
    > ferraglia monopolista.
    >
    > Infatti il problema sembra affliggere tutti
    > i browser attualmente in uso.
    >
    > Ci rivedremo qui alla prima correzione.
    >

    ma hai letto l'advisory?
    ogni bug andrebbe patchato e siamo d'accordo, ma questo non e' esattamente un bug...
    se uno controlla il dominio zap.it e andando su monopolio.zap.it si aprisse l'homepage di microsoft, cosa c'entra il broswer?
    Il browser va dove gli dice di andare il dns...
    se il dns e' configurato male o volutamente male...

    ciao
    non+autenticato
  • Microsoft ha minimizzato la pericolosità del problema sostenendo che le possibilità di un attacco di questo tipo sono assai remote dato che è necessario che l'aggressore controlli il dominio a cui appartiene l'utente: per questo motivo il big di Redmond non prevede al momento il rilascio di alcuna patch

    Gli altri hanno gia patchato..M$ ti dice....... va beh se ho tempo...magari in futuro
    non+autenticato


  • - Scritto da: js
    > Gli altri hanno gia patchato..M$ ti
    > dice....... va beh se ho tempo...magari in
    > futuro

    Dov'è che c'è scritto che gli altri hanno già patchato?
    Sarà il sonno ma non l'ho visto...
    A bocca storta
    non+autenticato
  • - Scritto da: x - :
    >
    >
    > - Scritto da: js
    > > Gli altri hanno gia patchato..M$ ti
    > > dice....... va beh se ho tempo...magari in
    > > futuro
    >
    > Dov'è che c'è scritto che gli altri hanno
    > già patchato?
    > Sarà il sonno ma non l'ho visto...
    > A bocca storta

    Si è vero, non c'è scritto. Ma non avendo detto niente diamo per scontato che patcheranno, come farebbe qualsiasi essere dotato di intelletto... cioè tutti gli esseri umani del mondo tranne i dirigenti Ms e i politici italiani.
    non+autenticato


  • - Scritto da: Federico
    > Si è vero, non c'è scritto. Ma non avendo
    > detto niente diamo per scontato che
    > patcheranno, come farebbe qualsiasi essere
    > dotato di intelletto... cioè tutti gli
    > esseri umani del mondo tranne i dirigenti Ms
    > e i politici italiani.

    A scusa...
    E' proprio l'ora...
    Non avevo capito al vole che si voleva flammare e basta...
    non+autenticato
  • Vendor Responses

    Netscape:

        Netscape/Mozilla has included a patch in the CVS repository [5]
        which implements the following two refinements:

            1) A change to document.domain is only honored if both the
               source and target frame altered document.domain.
        
            2) If the client has access to external DNS, the hostname-to-IP
               mapping is "pinned" for the lifetime of the page.

        These refinements defend against this vulnerability if the client has
        access to DNS. Clients behind proxies who lack DNS access are still
        vulnerable to the attack outlined in the section "Quick-Swap DNS".

    Microsoft:

        Unsurprisingly, Microsoft's response to this issue came from their
        Public Relations department, rather than their Engineering
        department. The statement indicated that Microsoft *would not*
        issue a patch or hotfix, but would prefer to downplay the severity
        of the vulnerability instead.


    _____________________________________
    non+autenticato


  • - Scritto da: x - :
    >
    >
    > - Scritto da: js
    > > Gli altri hanno gia patchato..M$ ti
    > > dice....... va beh se ho tempo...magari in
    > > futuro
    >
    > Dov'è che c'è scritto che gli altri hanno
    > già patchato?
    > Sarà il sonno ma non l'ho visto...
    > A bocca storta

    C'e' scritto nell'advisory completo il cui link e' nell'articolo. C'e' scritto che per Mozilla e' possibile scaricare la patch.
    non+autenticato
  • ovviamente perche attachi dall'interno non possono avvenire secondo microsoft

    ma non gli e bastato avere xp b1 b2 c3 c2
    ie5. 13xx media 8 peima in giro per la rete ?

    grazie per l'insicurezza
    almeno so che se uno buca non ' colpa del gestore ma del produttore dei pc
    il software m$ dipende dal produttore del pc
    non+autenticato
  • Tanto tutti quelli che stanno criticando ora M$ e IE, utilizzano Mozilla e odiano Windows.....
    Ma che v'alterate a fare??? Vi entra un Euro in tasca se fallisce la M$? Secondo me siete solo invidiosiSorride
    non+autenticato
  • - Scritto da: ryoga
    > Tanto tutti quelli che stanno criticando ora
    > M$ e IE, utilizzano Mozilla e odiano
    > Windows.....
    > Ma che v'alterate a fare??? Vi entra un Euro
    > in tasca se fallisce la M$? Secondo me siete
    > solo invidiosiSorride

    No non ci entra un euro in tasca, come ad esempio
    non entrava un euro in tasca a Beppe Grillo quando
    ha pubblicamente denunciato la truffa degli 144
    in pubblico. Però nessuno gli ha detto che ha
    fatto male. Semplicemente ci da fastidio vedere
    fregare degli ignari utenti.
    non+autenticato
  • :) Sicuro che a Beppe Grillo non sia entrato un euro in tasca?Sorride
    non+autenticato
  • a parte che euro non erano ancora in corso..Occhiolino

    più che altro, gli sono entrate tante denunce da grattareCon la lingua fuori
    ed è anche stato bandito dalle TV nazionali..

    ma è andato avanti lo stesso.

    - Scritto da: ryoga
    > Sorride Sicuro che a Beppe Grillo non sia entrato
    > un euro in tasca?Sorride
    non+autenticato