Israele – I due cuginetti Netscape e Mozilla soffrirebbero di una “voragine” nel proprio codice: una falla che, similmente a quella scoperta di recente in Internet Explorer – ma rispetto a questa ancora più grave – potrebbe consentire ad un aggressore di leggere qualunque file presente sul disco fisso di un utente.
Il buco, scoperto dalla società di sicurezza israeliana GreyMagic Software , riguarda tutte le versioni di Netscape a partire dalla 6.1 e tutte le versioni di Mozilla comprese fra la 0.9.7 e la 0.9.9. L'”origine del male” è l’oggetto XMLHttpRequest del componente XMLHTTP, che consente ad una pagina Web di inviare e ricevere dati in formato XML attraverso il protocollo HTTP.
Secondo quanto spiegato nel rapporto di sicurezza di GreyMagic, a causa di un non corretto controllo da parte di XMLHttpRequest sarebbe possibile confezionare una pagina Web in grado di redirigere una richiesta verso un file memorizzato sul disco dell’utente e di aggirare le impostazioni di sicurezza del browser. Rispetto al bug scoperto in Internet Explorer lo scorso gennaio, che consentiva di leggere solo i file di cui si conoscesse l’esatta locazione, la vulnerabilità che interessa Netscape e Mozilla appare ben più grave visto che consente ad un aggressore di elencare i file contenuti in una cartella del disco.
Sul sito di GreyMagic è possibile verificare, attraverso un piccolo test on-line , se il proprio browser è affetto dal problema.
La comunità di Mozilla ha promesso il rilascio di una patch a breve, con tutta probabilità entro la fine della settimana.
Nel suo bollettino GreyMagic ha poi voluto tirare le orecchie a Netscape per quanto riguarda il servizio di segnalazione bug, a suo dire inefficiente. L’azienda sostiene infatti di aver informato Netscape il 24 aprile attraverso un form sul Web che prometteva una risposta entro 5 giorni. Un arco di tempo in cui l’azienda israeliana sostiene di non aver ricevuto nessun riscontro: così, dopo 6 giorni, ha reso il bug di pubblico dominio.
Ti potrebbe interessare
3 mag 2002