Web – Il cacciatore di bachi Georgi Guninski pare aver distolto per un attimo l’attenzione dai prodotti Microsoft ed essersi baloccato un po’ con Opera, un browser sempre più popolare che proprio di recente è arrivato alla prima beta della versione 6.0 .
Guninski ha scovato nelle ultime versioni stabili di Opera, la 5.12 per Windows e la 5.0 per Linux, – ma non esclude che possano essere interessate anche altre versioni o piattaforme – diverse vulnerabilità legate a JavaScript che, a suo dire, “consentono ad uno script inserito in una pagina di accedere ad una pagina ed alle sue proprietà su di un altro dominio”.
Questo tipo di vulnerabilità, che Guninski chiama “Same Origin Vulnerability”, consentirebbe ad uno script di accedere a cookie e link di un dominio arbitrario fra quelli a cui l’utente locale ha accesso, con tutte le conseguenze immaginabili su privacy e sicurezza.
“E’ anche possibile – spiega il bug hunter – che uno script legga i link contenuti nella cache utente e nell’history”.
Alla faccia di Microsoft e compagnia bella, che vorrebbero non fossero divulgate informazioni troppo dettagliate sui bachi e soprattutto i codici di esempio per sfruttarli (exploit), Guninski non ha mancato, anche in questo caso, di dimostrare con un breve script alcune delle vulnerabilità da lui scoperte.
Guninski ha classificato queste debolezze di Opera a medio rischio ed ha consigliato agli utenti di disabilitare JavaScript: a questo proposito, Opera Software suggerisce di attivare l’opzione “Use cookies to trace password protected documents”, una funzione che impedisce, fra le altre cose, il caching delle password, l’archiviazione dei cookie e delle URL nell’history.
“Molte tecnologie del Web – ha scritto Opera Software in una mail di risposta a Guninski – non sono molto sicure, ma non è conveniente per l’utente disattivarle. Questo è il motivo per cui all’utente dovrebbe essere data la possibilità di bloccare le informazioni relative alla privacy”.
Ti potrebbe interessare
19 nov 2001