Roma – Un esperto di sicurezza ha scoperto un “trucco” per aggirare i contesti di sicurezza di Internet Explorer e mascherare il vero indirizzo di un sito Web.
“La vulnerabilità è causata da un errore nella gestione degli URL da parte di IE”, ha spiegato Secunia in un avviso di sicurezza . “Può essere utilizzata per far visualizzare al browser un sito Web nel medesimo contesto di sicurezza di un altro dominio, quali ad esempio quelli appartenenti alle zone Intranet e Trusted”.
Per fare in modo che ciò avvenga, un aggressore può confezionare un URL che contenga, nella parte sinistra, il falso indirizzo (che può essere reale oppure inventato), nella parte centrale alcuni caratteri speciali e nella parte destra il dominio che verrà effettivamente aperto dal browser. Attraverso una speciale sintassi, riportata nell’advisory di Secunia, un malintenzionato può indurre un utente a credere di trovarsi in un sito a lui familiare mentre invece sta navigando in un dominio differente.
La vulnerabilità somiglia da vicino a quella che emerse alla fine dello scorso anno . Rispetto a questa, però, quella attuale è assai meno facile da sfruttare. Come spiegato da bitlance winter, l’hacker che per primo ha scoperto il problema, l’exploit funziona soltanto in congiunzione con alcuni errori di configurazione nel DNS e nel server Web.
Gli esperti di sicurezza sono concordi nel dire che il problema è maggiormente imputabile alla configurazione DNS di un sito Web piuttosto che al codice di gestione degli URL di IE. Microsoft si è tuttavia detta intenzionata ad investigare sulla questione e intraprendere eventuali misure correttive.
Di recente anche Opera Software ha dovuto correggere una vulnerabilità utilizzabile per mascherare l’indirizzo di un sito Web.
Ti potrebbe interessare
14 giu 2004