Alfonso Maruccia

Microsoft: Word è vulnerabile

Redmond lancia l'allarme su una nuova falla già attivamente sfruttata da ignoti per far danni sui sistemi Windows: il colpevole, in questo caso, è il codice di parsing dei file RTF in Word 2010. In attesa di una patch c'è il fix temporaneo

Roma - Microsoft ha pubblicato il Security Advisory 2953095 su una nuova vulnerabilità scoperta in Word, un falla zero day già attivamente sfruttata da ignoti cyber-criminali e potenzialmente in grado di portare all'esecuzione di codice (malevolo) da remoto nel caso si provasse ad aprire file .rtf malformati.

Gli attacchi per mezzo di file RTF non sono certo una novità e funzionano potenzialmente su tutte le versioni di Word, ma nel caso specifico la falla zero day riguarda la versione 2010 del popolare word processor di Redmond, o nel peggiore dei casi le email visualizzate in Outlook tramite l'engine di Word 2010.

Il baco è stato individuato da ricercatori appartenenti al "security team" di Google, ammette Microsoft, e in attesa di rilasciare la prevedibile patch risolutiva la corporation consiglia - tra le altre cose - di applicare un fix in grado di disabilitare l'apertura dei file .rtf potenzialmente pericolosi.
Che nel 2014 sia ancora possibile prendere il controllo di un PC tramite l'atavico formato RTF è grave, ma le nuove piattaforme informatiche maggiormente di tendenza come Android pare non se la cavino molto meglio, in quanto a problemi di sicurezza banali con conseguenze potenziali parecchio gravi.

Un ricercatore ha infatti scoperto un baco sull'OS mobile di Google nella gestione del campo "appname" di una app, una falla che si attiva immettendo in detto campo una stringa enormemente estesa (oltre i 387mila caratteri) e che può portare a un loop di crash e riavvii in grado di trasformare il terminale "infetto" in un RAEE senza utilità. A peggiorare la situazione c'è la constatazione del fatto che un test sul baco è stato in grado persino di mettere in ginocchio lo store Google Play per un tempo limitato.

Alfonso Maruccia
Notizie collegate
  • SicurezzaMicrosoft e Adobe correggono vulnerabilitàRedmond anticipa il contenuto del suo prossimo Patch Tuesday, un blob di correzioni per più di 50 diverse falle in svariati prodotti Microsoft. Nel mentre, Adobe corregge due falle zero day già attivamente sfruttate
73 Commenti alla Notizia Microsoft: Word è vulnerabile
Ordina
  • Mentre nel caso di Microsoft e Apple le vulnerabilità vengono scoperte solo dopo che cani e porci le hanno ampiamente sfruttate per fare danni, nel caso di Linux si parla sistematicamente di "potenziali vulnerabilità"; ma è proprio questo il punto di forza di Linux rispetto agli altri SO.
    In generale, qualunque modifica apportata al software open source deve essere approvata da un ristretto numero di sviluppatori (in molti casi anche da un solo sviluppatore); è praticamente impossibile quindi infilarci una qualunque porzione di malware (comprese le backdoor) senza essere scoperti. Eventualmente, appena salta fuori qualche "corpo estraneo", arriva subito l'aggiornamento di sicurezza.
    Gli unici problemi, non a caso, derivano dai pochi software closed e dai firmware closed che circolano nel mondo Linux e Android.

    Del resto, se fossero vere le notizie che periodicamente parlano, ad esempio, di infezioni di massa sui server Linux, praticamente si fermerebbe Internet, visto che sul 70% di tali server ci gira Linux + Apache.
    non+autenticato
  • Ti faccio presente che oggigiorno un attacco malware non mira a bloccare il servizio, ma anzi a mantenerlo attivo dopo la compromissione per attrarre utenti ed eventualmente carpirne informazioni utili, quindi la tua tesi non regge molto...
  • - Scritto da: Gianluca70
    > Ti faccio presente che oggigiorno un attacco
    > malware non mira a bloccare il servizio, ma anzi
    > a mantenerlo attivo dopo la compromissione per
    > attrarre utenti ed eventualmente carpirne
    > informazioni utili,

    Da buon winaro te ne intendi, essendo abituato a condividere le tue risorse con il resto della botnet.
  • - Scritto da: panda rossa
    > Da buon winaro te ne intendi, essendo abituato a
    > condividere le tue risorse con il resto della
    > botnet.
    Ebury.
    E adesso vai a piangere nell'angolino. In lacrime
    non+autenticato
  • - Scritto da: una sola parola
    > - Scritto da: panda rossa
    > > Da buon winaro te ne intendi, essendo
    > abituato
    > a
    > > condividere le tue risorse con il resto della
    > > botnet.
    > Ebury.
    > E adesso vai a piangere nell'angolino. In lacrime

    Devo piangere perche' non sono stato colpito neppure di striscio?
  • - Scritto da: panda rossa
    > Devo piangere perche' non sono stato colpito
    > neppure di
    > striscio?
    No, perché non te ne sei neanche accorto
    non+autenticato
  • - Scritto da: una sola parola
    > - Scritto da: panda rossa
    > > Devo piangere perche' non sono stato colpito
    > > neppure di
    > > striscio?
    > No, perché non te ne sei neanche accorto

    In tal caso sei tu quello che viene infettato quando ti colleghi al mio server.
  • - Scritto da: panda rossa
    > In tal caso sei tu quello che viene infettato
    > quando ti colleghi al mio
    > server.
    A differenza tua non uso un colabrodo.
    PS: preoccupati della tua trave
    non+autenticato
  • - Scritto da: una sola parola
    > - Scritto da: panda rossa
    > > In tal caso sei tu quello che viene infettato
    > > quando ti colleghi al mio
    > > server.
    > A differenza tua non uso un colabrodo.

    Detta da un winaro e' la barzelletta del giorno.

    > PS: preoccupati della tua trave

    Tu di travi te ne intendi!

    Io a differenza tua, posso aprire i files RTF senza preoccuparmi di nulla.
    Ma ora che ci penso, anche tu non devi preoccuparti di nulla, essendo gia' la tua macchina gia' facente parte di tutte le botnet del pianeta.
  • E una volta messo alle strette cominci a costruire castelli per aria. Annoiato
    TrollTroll occhiolinoTroll chiacchieroneTroll occhi di fuoriTroll di tutti i colori
    non+autenticato
  • - Scritto da: una sola parola
    > E una volta messo alle strette cominci a
    > costruire castelli per aria.
    >Annoiato
    > TrollTroll occhiolinoTroll chiacchieroneTroll occhi di fuoriTroll di tutti i colori

    Andando a rileggere il thread dall'inizio e' molto evidente chi e' stato quello che, messo alle strette dalla trave RTF nell'oculo, prova a consolarsi schernendo pagliuzze altrui gia' risolte da tempo.

    L'articolo dice che chi usa word viene sodomizzato, e tu sei quello messo a pecora.
  • - la 1', e' una vecchia abitudine di M$... "se puoi usare del bloatware per fare una cosa, perche non farlo?". Nello specifico l'engine di Word, associato ad outlook, per scrivere una pidocchiosa email.

    - la 2', di google... sebbene sia facile in qualunque piattaforma&linguaggio trovare dei DoS "alle risorse", e' imbarazzante che non facciano un po' di "sanitization" nei parametri incriminati (quelli ciucciati dal xml, che e' sotto controllo del developer), addirittura bombando la sandbox di g.play...
    non+autenticato
  • Invece di parlare del baco di Android sarebbe stato più interessante approfondire l'aspetto tecnico del bug di Word. Tanto per essere precisi l'exploit prende i grant dell'utente che apre il file, quindi come al solito, è meglio non usare sempre gli account amministrativi.
    Magari anche proporre un tampone temporaneo in attesa di una fix, tipo disabilitare l'apertura automatica degli rtf.

    Che poi Android abbia dei bug, come ogni piattaforma mai inventata, ci interessa molto, ma non mi sembra attinente ad un articolo titolato "Microsoft: Word è vulnerabile".
    non+autenticato
  • è per dire che in fondo non è colpa di windows

    ovviamente non si fa notare l'ovvio, cioè che il bug di android è sfruttabile solo previa installazione ( da parte dell'utente ) di un'app malevola ( e il massimo è un DOS del sistema )

    nel caso word parliamo invece di esecuzione di codice remoto, roba ben più seria
    non+autenticato
  • - Scritto da: collione

    > ovviamente non si fa notare l'ovvio, cioè che il
    > bug di android è sfruttabile solo previa
    > installazione ( da parte dell'utente ) di un'app
    > malevola ( e il massimo è un DOS del sistema)

    In parole povere, bug sfruttabile da trojan.
    FDG
    10893
  • - Scritto da: FDG
    > - Scritto da: collione
    >
    > > ovviamente non si fa notare l'ovvio, cioè
    > che
    > il
    > > bug di android è sfruttabile solo previa
    > > installazione ( da parte dell'utente ) di
    > un'app
    > > malevola ( e il massimo è un DOS del sistema)
    >
    > In parole povere, bug sfruttabile da trojan.

    chiaro, ma un trojan fa prima a richiedere i permessi all'utente

    ma, in ogni caso, si tratta di due vulnerabilità distanti anni luce, e metterle nello stesso articolo è solo un goffo tentativo per dire "guardate che mica solo windows è una groviera"
    non+autenticato
  • - Scritto da: collione

    > chiaro, ma un trojan fa prima a richiedere i
    > permessi all'utente

    A volte è anche fin troppo facile convincere l'utente...

    Guarda 'sti figli di ... cosa hanno fatto:

    http://arstechnica.com/security/2014/03/apps-with-.../
    FDG
    10893
  • - Scritto da: Vindicator
    > Invece di parlare del baco di Android sarebbe
    > stato più interessante approfondire l'aspetto
    > tecnico del bug di Word. Tanto per essere precisi
    > l'exploit prende i grant dell'utente che apre il
    > file, quindi come al solito, è meglio non usare
    > sempre gli account
    > amministrativi.
    > Magari anche proporre un tampone temporaneo in
    > attesa di una fix, tipo disabilitare l'apertura
    > automatica degli
    > rtf.
    quello c'e' (nel sito M$).. e' citato mi sembra.

    Piuttosto l'apertura dell'articolo e' sballata.
    M$ dice "At this time, we are aware of limited, targeted attacks directed at Microsoft Word 2010.", ma la vulnerabilita' riguarda word 2003,2007,2010


    > Che poi Android abbia dei bug, come ogni
    > piattaforma mai inventata, ci interessa molto, ma
    > non mi sembra attinente ad un articolo titolato
    > "Microsoft: Word è
    > vulnerabile".
    si in effetti potevano fare due articoliCon la lingua fuori
    non+autenticato
  • - Scritto da: bubba
    > "At this time, we are aware of limited,
    > targeted attacks directed at Microsoft Word
    > 2010.", ma la vulnerabilita' riguarda word
    > 2003,2007,2010

    Mica tanto limited quindi, come scrivi anche tu, riguarda ogni software nel quale sia embedded l'engine di word, quindi più o meno ovunque.
    Chissà, magari anche il semplice Word Viewer, magari nemmeno serve avere word, sarebbe un colpo divertentissimo.
    non+autenticato
  • Passare a Libreoffice .
    non+autenticato
  • - Scritto da: Lorenzo
    > Passare a Libreoffice .

    ancora meglio sarebbe fare una legge che inchiodi i pallonari del bugware alle loro responsabilità
    non+autenticato
  • Ma nemmeno pagato! Almeno MS Word è usabile...
    non+autenticato
  • - Scritto da: Aziz
    > Ma nemmeno pagato! Almeno MS Word è usabile...
    per leggere le mail o per far funzionare meglio gli exploit, dici?Sorride
    non+autenticato
  • Veramente con dopo la meravigliosa ribbon interface io mi trovo meglio con libreoffice , in piu' apro tranquillamente i documenti di office senza grossi problemi , ho il supporto al pdf nativo , comunque ognuno e' libero di usare quello che vuole e prendersi malware aprendo un rtf ...
    non+autenticato
  • Ancora con sto ribbon... se tu non hai l'elasticità mentale per saper usare e gestire una barra degli strumenti dinamica torna a usare la macchina da scrivere..

    e magari ti definisci anche informatico...
    non+autenticato
  • Non mi ci definisco, semplicemente nel mio piccolo sviluppo e contribuisco anche alla localizzazione di software , ma ribbon non la digerisco che e' diverso da non la so usare , se mi dessero una automobile con lo sterzo quadrato potrei ben dire che lo preferivo rotondo o no ? Tra l'altro sono in buona compagnia quanto a bruciori di stomaco con ribbon; pazienza vuol dire che il club dei deficienti usera' libreoffice e stara' al sicuro , il club dei geni usera' word bacatoSorride

    chi sono io per dire cosa fare a chi e' dotato di intelligenza superiore .
    non+autenticato
  • - Scritto da: antrax
    > Ancora con sto ribbon...

    Certo. Il ribbon fa cagare.

    > se tu non hai
    > l'elasticità mentale per saper usare e gestire
    > una barra degli strumenti dinamica torna a usare
    > la macchina da
    > scrivere..

    Usala tu l'interfaccia per utonti.
    Noi preferiamo il menu a tendina e i pulsanti configurabili.

    > e magari ti definisci anche informatico...

    Se il paragone si deve fare con te, anche il mio gatto si definisce informatico: usa mouse e tastiera.
  • - Scritto da: Aziz
    > Ma nemmeno pagato! Almeno MS Word è usabile...

    Eccone un altro che non ha letto il manuale di Open Office.
    Prima riga, scritto in Arial 48 bold.

    "Quesro software richiede cervello."

    Quindi non dire che non e' usabile.
    Di' che non possiedi il prerequisito.
  • - Scritto da: panda rossa
    > - Scritto da: Aziz
    > > Ma nemmeno pagato! Almeno MS Word è
    > usabile...
    >
    > Eccone un altro che non ha letto il manuale di
    > Open
    > Office.
    > Prima riga, scritto in Arial 48 bold.
    >
    > "Quesro software richiede cervello."
    >
    > Quindi non dire che non e' usabile.
    > Di' che non possiedi il prerequisito.

    Libre office è buono come purgante rispetto a Office.

    Ovvio, se ci devi lavorare, per scrivere le letterine a babbo natale, usate libre coso.

    Office si paga? Wow, paura. Scommetto che il meccanico si costruisce da solo le chiavi inglesi.
    non+autenticato
  • Si vede che non ci lavori con libreoffice ...
    non+autenticato