Redmond (USA) – In occasione del rilascio dell’ ultimo bollettino di sicurezza mensile , Microsoft ha corretto alcune vulnerabilità in Windows e nel servizio WINS, rilasciando inoltre una patch per il Windows Media Player ed una per Virtual PC per Mac.
La vulnerabilità più seria, classificata da Microsoft con il più alto livello di pericolosità, interessa tutte le versioni di Windows basate sul kernel NT – NT4, 2000, XP e 2003 – e può consentire ad un cracker di prendere il controllo di un sistema da remoto. La falla, di tipo buffer overrun, è contenuta all’interno di una libreria di Windows che implementa l’Abstract Syntax Notation 1 (ASN.1), uno standard internazionale che viene utilizzato da molte applicazioni e device per la rappresentazione di differenti tipi di dati binari, come numeri e stringhe di testo.
La libreria ASN.1 consente ai programmi che girano sui più diffusi sistemi operativi di identificare, e interpretare nel modo corretto, il tipo di dati che viene loro passato da un dispositivo o da un’altra applicazione. L’ASN.1 è un componente standard di Windows fin dalla versione NT4.
“Un aggressore che sfrutti con successo questa vulnerabilità potrebbe eseguire del codice con i privilegi di system (i più elevati, N.d.R.)”, si legge nell’avviso di sicurezza MS04-007 di Microsoft. “L’aggressore potrebbe poi intraprendere qualsiasi azione, incluso installare programmi, creare nuovi account con i massimi privilegi o visualizzare, modificare e cancellare dati”.
La falla è stata scoperta da eEye Digital Security , che afferma di averla segnalata a Microsoft lo scorso giugno. “Duecento giorni per correggere questo problema… È ridicolo “, ha commentato duro Marc Maiffret, chief hacking officer di eEye. Una nota a cui Microsoft ha reagito spiegando la complessità dello sviluppo di una simile patch e la necessità di garantire una installazione fluida.
Alcuni esperti di sicurezza sostengono che la nuova falla ricorda da vicino quella che la scorsa estate fu utilizzata dal famigerato worm Blaster . Gli esperti hanno spiegato che ogni applicazione che si appoggia alla libreria ASN.1 può di fatto rappresentare un varco d’entrata nel sistema. È anche per tale ragione che Microsoft raccomanda agli amministratori di sistema di “aggiornare immediatamente”.
Ecco le altre vulnerabilità.
Oltre all’advisory MS04-004 , relativo ad una patch cumulativa per Internet Explorer rilasciata all’inizio di questo mese , Microsoft ha pubblicato all’interno del bollettino di febbraio un terzo avviso, l’ MS04-006 , che descrive una vulnerabilità nel Windows Internet Naming Service (WINS).
Sebbene contenuta anche nelle versioni server di Windows NT4 e 2000, la falla sembra al momento rappresentare un problema di sicurezza solo in Windows 2003: in questo caso, infatti, il big di Redmond afferma che un aggressore potrebbe lanciare attacchi di denial of service o, eventualmente, trovare un metodo per eseguire del codice da remoto.
Microsoft ha rilasciato anche una patch di sicurezza che corregge un bug in Virtual PC 6.0 e 6.1 per Mac, il quale potrebbe consentire ad un utente malevolo di elevare i propri privilegi, ed una patch che risolve un problema legato a tutte le versioni di Windows Media Player quando girano su Windows 2000, XP o 2003.
“Quando un proprietario di contenuti crea un flusso audio o video, può aggiungere comandi script, per esempio comandi script URL e comandi script personalizzati, che verranno codificati nel flusso”, si legge nell’articolo tecnico KB828026 di Microsoft. “Durante la riproduzione del flusso i comandi script possono attivare eventi in un lettore incorporato oppure possono aprire il browser e visualizzare una pagina Web”.
In un recente studio, il Gartner ha affermato che “la sicurezza di Microsoft sta migliorando”.
“I worm nel 2003 hanno mostrato che Windows deve ancora compiere una lunga strada prima di potersi definire davvero sicuro, e questo ha spinto Microsoft a focalizzare i propri sforzi sulla sicurezza”, ha scritto il Gartner nella proprio relazione. “Entro il 2005 i software server di Microsoft saranno sicuri quanto o più della media dell’industria. Microsoft sta facendo molti progressi, da questo punto di vista, anche nel settore desktop”.
Il Gartner ha anche detto che, entro il 2005, i costi di Windows legati alla sicurezza equivarranno a quelli dei sistemi UNIX e Linux.
Ti potrebbe interessare
12 feb 2004