Bachi e bachetti per ISA Server e Firefox

Roma – Questo mese il consueto appuntamento mensile con gli advisory di sicurezza di Microsoft ha visto la pubblicazione di un solo bollettino, l’ MS04-039 , relativo ad una vulnerabilità scoperta di recente in Microsoft Internet Security and Acceleration Server 2000 (ISA Server) e Microsoft Proxy Server 2.0: il primo è un server di caching Web e un firewall di livello aziendale, mentre il secondo svolge la funzione di gateway Internet per i computer collegati in rete.

L’aggiornamento risolve un problema di sicurezza che potrebbe essere sfruttato da un cracker per “indurre un utente – ha spiegato Microsoft nel suo ultimo bollettino – a credere di accedere a contenuti Internet attendibili, mentre in realtà si tratta di contenuti dannosi, ad esempio un sito Web malevolo”. La debolezza fa sì che l’aggressore possa introdurre i falsi contenuti direttamente all’interno della cache gestita dai server vulnerabili di Microsoft: in questo modo una pagina Web malevola può essere visualizzata, ad esempio, al posto di un sito Web legittimo e magari ritenuto affidabile. La cache Web, come noto, contribuisce a migliorare le prestazioni della rete memorizzando copie locali dei contenuti Web richiesti più di frequente.

Per sapere se sul proprio sistema gira uno dei prodotti vulnerabili, Microsoft ha messo a disposizione dei propri utenti questo link .

In questa tornata di bollettini Microsoft non ha fatto in tempo a rilasciare una patch per la seria vulnerabilità di sicurezza di Internet Explorer relativa al tag IFRAME. A tal proposito il big di Redmond ha fortemente criticato la scelta dello scopritore della falla di divulgare i dettagli del bug senza attendere la disponibilità della relativa correzione. La situazione è particolarmente delicata visto che, negli scorsi giorni, ha già fatto capolino nelle mailbox di alcuni utenti il primo worm capace di sfruttare la nuova vulnerabilità. A questo punto è presumibile che Microsoft decida di rilasciare l’aggiornamento non appena pronto, senza dunque attendere il secondo martedì di dicembre.

Ieri Secunia ha riportato, in questo advisory , una serie di vulnerabilità che interessano tutte le versioni 0.x di Firefox. I bug, classificati con un livello di pericolosità moderato, possono consentire ad un aggressore di lanciare attacchi di denial of service, rubare password da Windows attraverso le condivisioni di rete e mascherare la vera estensione di un file da scaricare. La soluzione suggerita dalla società di sicurezza è quella di installare il nuovo Firefox 1.0 .