Emerge un bug nel Windows rubato

Pubblicato online il primo exploit che sfrutta una falla di sicurezza scoperta in una porzione del codice trafugato di Windows. Nel frattempo i cracker hanno messo a punto il primo attacco all'ASN.1 di Windows

Roma - Come diversi esperti avevano previsto, il recente furto del codice sorgente di Windows 2000 e di NT4 ha giÓ consentito ad uno sviluppatore di individuare nel software di Microsoft un punto debole e creare il relativo exploit.

La falla, costituita da un buffer overflow, si trova all'interno del codice di Internet Explorer 5 che gestisce le immagini bitmap. Secondo quanto riportato in un advisory apparso su SecurityTracker.com, "un utente remoto pu˛ creare un particolare file bitmap che, quando caricato da IE, genera un buffer overflow e consente l'esecuzione di codice a libera scelta dell'aggressore".

La vulnerabilitÓ non sembra interessare IE 6, attualmente la pi¨ diffusa versione del browser di Microsoft.
L'esperto che ha creato l'exploit afferma di aver scoperto il bug analizzando alcune delle righe di codice di Windows che in questi giorni sono apparse in Internet, comprese le reti P2P e IRC.

L'attenzione degli esperti Ŕ per˛ catalizzata da un altro exploit, questa volta non correlato al codice trafugato, che per primo sfrutta la vulnerabilitÓ nella libreria ASN.1 di Windows 2000/XP/2003 corretta da Microsoft la scorsa settimana.

Per il momento l'exploit pu˛ essere utilizzato solo per attacchi di tipo denial of service, tuttavia gli esperti temono che i cracker possano presto trovare il modo per eseguire del codice da remoto.

Update (ore 11,50): Microsoft ha fatto sapere che il bug trovato nel codice sorgente rubato di Windows era giÓ stato scoperto internamente dall'azienda e corretto con il rilascio del Service Pack 1 per IE 6.
TAG: sicurezza
156 Commenti alla Notizia Emerge un bug nel Windows rubato
Ordina
  • Vedo molti che sono contenti del fatto che guardando il codice si è trovata una falla...e allora? E' solo un vantaggio per Microsoft, adesso la falla (probabilmente presente anche nelle versioni più recenti) sarà riparata, e così pure le successive che verranno trovate...tutto vantaggio per Microsoft, e minore probabilità di trovare falle che possano liberarci dall'incubo del trusted computing qundo ci sarà.
    Non vedo proprio dove stia il bene.
    non+autenticato
  • Il trusted computing verra' rigettato dal mercato. Palladium e' un progetto nato morto per diverse motivazioni, non e' questo il forum giust oper approfondirle.
    E' sbagliato invece dire che e' un peccato aver trovato una vulnerabilita' nei sistemi di MS. Non pubblicarla non significherebbe non aiutare MS bensi' castigare l'utenza negandole la patch.

    Certo, bisogna avere le vedute larghe per accettare questo punto di vista...ma tanto e'!
    non+autenticato
  • > Microsoft, adesso la falla (probabilmente
    > presente anche nelle versioni più
    > recenti) sarà riparata, e così

    no non e' presente nelle versioni piu' recenti
    non+autenticato
  • Perchè se scopri un bug nel sistema closed usato da una banca e fai un POC ti ritroverai nei guai?

    Perchè la ferrari non è open source?

    Perchè i resistori dei monitor non hanno codici standard?

    Perchè in Cina il comunismo non è a favore del popolo e a Shangai le case popolari sono state abbattute a favore dei captali$ti ??

    Perchè in Russia solo il popolo deve essere comunista e Boris esportava denaro sporco ?   





    non+autenticato
  • Perchè solo ora i sindacati fanno scioperi selvaggi e se ne fregano dei contratti sindacali ?

    Perchè la CGIL non è super partes ?

    Perchè la sinistra non offre una valida alternativa alla CDL ?

    Perchè invece di criticare non mantengono le promesse ?

    Pecchè? Pecchè? Pecchè?



    non+autenticato
  • Perchè, in ambito DBMS ognuno ha implementato l'ISO SQL92 come ca**o gli pareva?

    Perchè non posso avere i data sheet dei componenti elettronici del mio router Cischio ?

    Perchè davanti al monopolio Cisco nessuno alza la voce ?

    Perchè l'ECDL fa così schifo ? Chi l'ha ideata?

    Perchè il segreto industriale SI e il software segreto NO ?

    Perchè è giusto attaccare il P2P e non gli unversitari che fotocopiano i libri a manetta nelle uni ?

    Perchè non lasciate in pace gli Utonti alle loro responsabilità nell'eventualità in cui i loro PC vengono usati come bot in attacchi DDOS ?

    non+autenticato

  • - Scritto da: Anonimo
    >
    > Perchè non lasciate in pace gli
    > Utonti alle loro responsabilità
    > nell'eventualità in cui i loro PC
    > vengono usati come bot in attacchi DDOS ?

    perché le mail mandate dal loro outlook bucato arrivano anche a me.
    non+autenticato

  • - Scritto da: Anonimo
    >
    > Perchè in Cina il comunismo non
    > è a favore del popolo e a Shangai le
    > case popolari sono state abbattute a favore
    > dei captali$ti ??

    Perchè i puffi non li fanno più in TV, forse perchè sono comunisti?

    http://digilander.libero.it/FineschiCristian/studi...

    http://www.exibart.com/notizia.asp?IDNotizia=6498&...
    non+autenticato
  • ... io con Fan Windows mi ci quadagno il pane.



    senior software engineer, microsoft italia

    Fan Windows
    non+autenticato

  • - Scritto da: Anonimo
    > ... io con Fan Windows mi ci quadagno il pane.
    >
    >
    >
    > senior software engineer, microsoft italia
    >
    > Fan Windows

    io con Fan Windows mi ci pulisco il c...

    senior software engineer, open source pianeta terra

    Fan Linux

    non+autenticato

  • - Scritto da: Anonimo
    >
    >
    > senior software engineer, open source
    > pianeta terra
    >
    > Fan Linux

    no, non ti sei qualificato correttamente, in realtà sei

    senior centro sociale engineer, scroccone, il pianeta delle canne

    non+autenticato


  • - Scritto da: Anonimo
    >
    >
    > senior software engineer, open source
    > pianeta terra
    >
    >

    no, non ti sei qualificato correttamente, in realtà sei

    senior centro sociale engineer, scroccone, il pianeta delle canne
    ------------------------------------------------------------------------------

    Ma come fanno ad esistere persone così stupide? non mi sembra che tutti gli utenti open source siano fumati o di sinistra. Per quanto mi riguarda l'unico prerequisito per essere un utente open source è avere il cervello.
    non+autenticato

  • - Scritto da: Anonimo
    >
    > Per quanto mi riguarda l'unico
    > prerequisito per essere un utente open
    > source è avere il cervello.

    Merce rara tra i linari

    Fan Windows
    non+autenticato
  • Ragazzi calma! Sapete perche' tutte le discussioni finiscono cosi'? Perche' ci si perde in stupide guerre di religione dove nessuno ha approfondito veramente la religione dell'altro. Io ho avuto la fortuna di approfondire entrambe le religioni e vi dico che dal punto di vista strettamente tecnico ognua delle 2 ha da imparare qualcosa dall'altra.
    In caso contrario si rischia di diventare Talibani e rimanere fermi all'etß della pietra convinti che la propria religione é la migliore ed é destinata a conquistare il mondo.
    Vi assicuro che l'ultima Versione Windows 2003 Server non ha nulla da invidiare alle ultime distro Linux o Unix. C'e' anche un interfaccia comandi per smanettoni di tutto rispetto per eseguire il monitoraggio e la configurazione del S.O. a manella). Comunque ognuno potrebbe dire é meglio questo in Linux o é meglio quello in Windows. La veritß é che non c'é al momento un meglio o un peggio, c'é una diversitß che va compresa e sfruttata per le proprie esigenze.
    Comunque posso dirvi una cosa: chi dice che Linux é gratis dice la veritß (pi˙ o meno) ma solo a casa a propria. Se decidi di fare un grande progetto ci sono grandi costi di consulenza, di assistenza e sviluppo che spesso non giustificano il prezzo delle licenze Windows (a meno che non hai in casa personale skillato e mal pagato che lavora soprattutto per passione - Vedi Universitß).

    Bye Fan WindowsFan Linux

    - Scritto da: Anonimo
    >
    >
    > - Scritto da: Anonimo
    > >
    > >
    > > senior software engineer, open source
    > > pianeta terra
    > >
    > >
    >
    > no, non ti sei qualificato correttamente, in
    > realtà sei
    >
    > senior centro sociale engineer, scroccone,
    > il pianeta delle canne
    > ---------------------------------------------
    >
    > Ma come fanno ad esistere persone
    > così stupide? non mi sembra che tutti
    > gli utenti open source siano fumati o di
    > sinistra. Per quanto mi riguarda l'unico
    > prerequisito per essere un utente open
    > source è avere il cervello.
    non+autenticato

  • > Comunque posso dirvi una cosa: chi dice che
    > Linux é gratis dice la veritß (pi˙ o
    > meno) ma solo a casa a propria.

    beh...meglio che niente...windows non solo non è gratis ma costa quanto tutto l'hardware del pc.
  • L'analisi proposta è veramente ridicola!!
    Le vulnerabilità sono ripetute spesso 4-5 volte,ognuna per ogni distributore di linux; ad exm quella di Xfree per i font è ripetuta da mandrake, RH,suse,Immunix, ma è la stessa vulnerabilita' della stessa versione di Xfree; Così come quelle del kernel o del dell'ftp!
    Ma le distro, nn sempre usano per i vari servizi lo stesso demone e nelle stesse versioni!!
    Questa variabilità di fatto è già una garanzia che impedisce 'epidemie' di massa di virus e troiani!
    Inoltre limita anche l'uso speculativo degli host infettatti quali teste di ponte per attacchi DDOS..
    Poi come si fa a confrontare le vulnerabilita' di distro cn 1500-2000 pacchetti e 5-7 cd di software, cn 500 700 mb di corrispettivo Findows???
    Inoltre gli advisory delle varie aziende sono legati all'uso del demone o del programma in particolare!!
    Ad exm, se in un advisory si menzionasse un buco di qmail,(nn me ne vogliano i sostenitori di qmail) ma io stessi usando postfix per il servizio di posta ,entrambi resi disponibili per quella versione della distro Linux, chiaramente non sarei in pericolo!!
    La SLES 8 mette a disposizione 3 server di posta, due ftp, 3 per la code di stampa..., senza considerare il fatto che molti servizi potrebbero essere spenti!
    Nn è molto furbo tenere acceso X su un server!!!

    Fare poi discorsi quantitativi,senza tenere in considerazione i tempi di rilascio delle patch e la gravita dei problemi riscontrati, m sembra palesemete
    indice di scarsa serietà!!
    I tempi di rilascio dell pach Linux sono fulminei!!
    Nell'ultimo grave buco di Findows, la falla e conosciuta da qualsi un anno.....
    Un guadagno locale di privilegi superiore e diverso da una local root escalation ed ancora diverso da un exploit remoto con root escalation..
    Premesso ke nn esiste il sostware perfetto,
    ma M$ cosa sta facendo per la sicurezza??
    Il mondo GNU/linux ha sfornato Posix ACL,cryptoApi,ipsec, execute shield, random load mem, infrastuttura di sicurezza modulare cn SELinux della NSA, reiserFS4, capability, User Mode LInux,e tanto altro, tutto gia disponibile nel kernel 2.6 ...

    Prima di parlare di sicurezza chiudete le finestre, xke le ca**ate volano fuori!!!
    non+autenticato
  • Il tuo discorso non fa una piega:

    una versione per ogni utente al mondo !!

    Risolto il problema virus!!

    per risolvere il problema della fame nel mondo consiglieresti a tutti di ... mangiare?!?!?
    non+autenticato


  • - Scritto da: Anonimo
    > Il tuo discorso non fa una piega:
    >
    > una versione per ogni utente al mondo !!
    >
    > Risolto il problema virus!!

    Eccone un'altro che non sa neanche leggere.
    non+autenticato
  • Per risolvere il tuo di problema,
    ti consiglierei di leggere magari accendendo il cervello.
    Oppure prova a lanciare in findows update....
    Grazie!!!
    non+autenticato

  • Ottima opera di autoconvincimento.
    Bye.

    P.S. Ti sei gia' scaricato tutte le belle patch di oggi?
    non+autenticato

  • - Scritto da: Anonimo
    >
    >
    > P.S. Ti sei gia' scaricato tutte le belle
    > patch di oggi?

    io sì, e tu?
    tutti i bachi di sicurezza _noti_ del tuo OS sono già stati patchati?
    e le patch, sono sicure o aprono altri buchi, com'è successo pochi mesi fa?

    ma va' va'...
    non+autenticato
  • La notizia della diffusione in rete di parte dei sorgenti Windows in se non dovrebbe stupire ed è naturale conseguenza dell'amplamento dei parter/client/governi con cui Microsoft condivide i sorgenti.
    L'iniziativa Shared Source di fatto consolida una prassi già praticata in passato, forse con meno enfasi e diffusione: Mainsoft apparentemente aveva da anni i sorgenti di MS e sempre più entità li avranno a disposizione.

    E nonostante tutti i contratti e le precauzioni, per malafede, insicurezza o distrazione, è inevitabile che frammenti più o meno sostanziosi di codice MS possano trapelare in rete dal momeno che sempre più soggetti li hanno a disposizione.

    La storia si ripeterà.

    Stupisce piuttosto, ma non troppo, la superficialità e l'approssimazione con cui molti media commentano e spiegano la notizia. Con le inesattezze e cialtronerie tecniche a cui siamo abituati ma anche con pericolosi e fuorvianti associazioni fra cracker, terroristi, linux, open e closed source che messi un po' tutti insieme all'occhio comune sembreranno un po' tutta la stessa cosa (la mente umana, quando ignorante, è particolarmente plasmabile).

    Nel 2003 si è cercato di combattere Linux e SL nei tribunali, nel 2004 lo si combatterà sui giornali.

    Il tutto, insieme ad adeguata campagna pubblicitaria, è già previsto, pianificato e pure dichiarato: http://punto-informatico.it/p.asp?i=46442
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
1 | 2 | 3 | 4 | 5 | 6 | 7 | Successiva
(pagina 1/7 - 32 discussioni)