Web – “La tecnologia di sicurezza di cui c’è bisogno non è nuova. Per anni è stata utilizzata in ambienti “sicuri” dai militari. Cose come privilegi, autorizzazioni, priorità e validazione devono essere inserite nei sistemi operativi consumer”: questa la “scomunica” di Elias Levy, analista di punta di SecurityFocus e owner della celebre mailing list dedicata alla sicurezza Bugtraq. Levy si è unito al coro di critiche rivolto a Microsoft dopo la scoperta dell’ultimo bug nel browser più diffuso al Mondo, Internet Explorer.
Il bulgaro George Guninski, “vecchio” scopritore di bachi, ha individuato un buco che potenzialmente consente ad un aggressore di accedere a file di cui conosce l’ubicazione sul computer delle sue vittime. Anche in questo caso, come già è accaduto spesso in passato, il problema risiede nella gestione dei JavaScript da parte di Explorer.
Normalmente, un server web può richiamare un file che si trova sul computer dell’utente in modo tale che appaia all’interno di una finestra del browser. In questo caso il file dovrebbe essere visibile solo all’utente, ma Guninski ha dimostrato che è possibile da server infilare uno scriptino nella finestra che visualizza quel file e da quel codicillo farsi inviare la copia di file di cui si conosce l’ubicazione sul computer dell’inconsapevole utente.
Secondo Guninski, che ha spiegato la cosa su Bugtraq , il problema risiede nel controllo ActiveX dedicato alla gestione dei file in arrivo e in ricezione (Web Browser) che gestisce il codice in locale anziché sul server web con cui dialoga.
Per il momento Microsoft si è limitata ad affermare di aver iniziato a lavorare sul problema per individuare la soluzione migliore. E non aiuta l’azienda il fatto che numerosi analisti proprio su Bugtraq questa volta non sembrano disponibili a “perdonare” Microsoft per l’ennesimo baco. “Occorre fare qualcosa sul modello di produzione del software”, ha tuonato Levy.
Ti potrebbe interessare
8 set 2000