Word semina dati, OE diventa un ariete

Nell'ultima settimana sono emersi nuovi problemi di sicurezza per MS Word e Outlook Express. Nel primo caso a rischio i dati, nel secondo il controllo della posta

Roma - MS Word e Outlook Express, due fra i più diffusi prodotti di Microsoft, sono di nuovo oggetto di attenzione da parte degli esperti di sicurezza per due problemi che, in entrambi i casi, potrebbero minacciare la sicurezza degli utenti. Mentre per Outlook Express non si può parlare di una vera e propria falla, nel caso di Word, Microsoft ha già ammesso l'esistenza del bug e si è detta al lavoro per trovare una soluzione.

La vulnerabilità di Word, riportata circa una settimana fa sulla mailing-list di sicurezza Bugtraq, può essere sfruttata da un aggressore per creare un documento contenente un campo dinamico nascosto che, come quello denominato "IncludeText", abbia accesso al disco dell'utente: attraverso uno di questi campi potrebbe infatti essere possibile, per una persona malintenzionata, aprire un determinato file sulla macchina della vittima e far sì che il suo contenuto, o una sua parte, venga inglobato all'interno del documento stesso. Per poter disporre delle informazioni così rubate, l'aggressore deve però contare sul fatto che la vittima, una volta aperto e salvato il documento, glielo faccia avere indietro (ad esempio, per e-mail).

Questa vulnerabilità, che secondo gli esperti di sicurezza non è in alcun modo legata alle macro di Word, è mitigata da diversi fattori: il primo, già citato, è il fatto che la vittima deve aprire, modificare e salvare il documento e poi rispedirlo al mittente; il secondo, è che il meccanismo sembra funzionare bene solo con Word 97, mentre per le versioni 2000 e 2002 Microsoft sostiene che l'aggressore dovrebbe persuadere la vittima a stampare il documento; il terzo è dato dal fatto che l'aggressore deve già conoscere il nome del file da rubare e il suo percorso.
Come si può dunque vedere, il fattore di rischio, seppur esistente, è molto basso, e circoscritto ad una limitata casistica di utenti: in special modo chi collabora alla stesura di un documento con altre persone.

Più serio, anche se non direttamente imputabile a Microsoft, è il problema di sicurezza scoperto in Outlook Express dalla società antivirus Beyond Security. In un recente advisory questa ha infatti spiegato che la funzionalità offerta da Outlook Express per dividere un messaggio di e-mail in più parti potrebbe essere sfruttata da malintenzionati per aggirare una grande varietà di filtri SMTP - inclusi antivirus e firewall - normalmente utilizzati per bloccare virus e altre forme di codice malizioso.

Nel momento in cui un messaggio viene frammentato in parti più piccole, il suo contenuto - secondo Beyond Security - diviene infatti invisibile a molti dei più comuni motori di scansione antivirus: il risultato è che tutti i più comuni worm, solitamente filtrati direttamente sui server di posta, potrebbero facilmente superare ogni controllo e farsi strada fino alle mailbox degli utenti.

"Questo difetto generico influenza potenzialmente tutti i software per il controllo del contenuto SMTP", ha commentato Aviram Jenik, CEO di Beyond Security. "Quello che è più allarmante di questo attacco è il fatto che non sono richiesti particolari strumenti d'attacco: qualsiasi utente di Outlook Express può sfruttare questa falla per superare, con un solo clic del mouse, un software per il filtraggio del contenuto vulnerabile".

La possibilità di inviare e-mail divise in più parti non è una funzione proprietaria di Outlook Express ma una parte dello standard MIME conosciuta come "Message Fragmentation and Reassembly" e descritta nell'RFC 2046. Gli esperti sono dunque concordi nel dire che il problema, dunque, non sta nel client e-mail di Microsoft, ma negli scanner e nei filtri di sicurezza che non sanno riconoscere e bloccare i messaggi frammentati. Alcuni dei produttori dei più noti software di questo tipo hanno infatti già rilasciato patch e aggiornamenti che eliminano questa pericolosa lacuna.

Secondo Beyond Security il problema è emerso proprio in conseguenza del fatto che Outlook Express è, oltre che uno dei client di posta elettronica più diffuso al mondo, anche il primo ad offrire agli utenti la possibilità di frazionare un messaggio con un semplice clic del mouse.

La società di sicurezza GFI ha recentemente informato Punto Informatico di aver integrato nel suo test gratuito per la posta, l'Email Security Test, la verifica di questa nuova vulnerabilità.
TAG: microsoft
10 Commenti alla Notizia Word semina dati, OE diventa un ariete
Ordina
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 6 discussioni)