Roma – Potrebbe trattarsi del primo worm capace di sfruttare una vulnerabilità di tipo cross-site scripting (XSS) quello che, alcuni giorni fa, è riuscito a gettare nella confusione molti utenti della comunità on-line MySpace.com .
Battezzato Samy , dal diminutivo del suo giovane creatore, il worm sfruttava una falla nel sito di MySpace.com per introdursi nei profili degli utenti della comunità e raccogliere quanti più contatti possibile. Per diffondere l’infezione, e far crescere a dismisura la propria buddy list, l’autore di Samy ha creato un profilo contenente il codice pestifero: chiunque lo visitasse diventava automaticamente portatore del worm. Samy è così riuscito a infettare, in meno di 24 ore, oltre 1 milione di account di MySpace.com, causando anche un forte rallentamento dei server che gestiscono il servizio.
Ad aiutare il worm nella sua diffusione sono intervenute alcune vulnerabilità presenti in Internet Explorer e altri browser, vulnerabilità che hanno consentito a Samy di inserire del codice raw HTML nelle pagine del profilo degli utenti e bypassare le restrizioni di sicurezza del sito.
La minaccia rappresentata da Samy è rimasta circoscritta a MySpace.com, tuttavia gli esperti temono che questo worm possa aprire la strada all’arrivo di una nuova e pericolosa generazione di codici virali.
Quelle di tipo XSS sono falle che non solo mettono a repentaglio la sicurezza di un sito, ma anche quella degli utenti: con un attacco che sfrutti tali debolezze un cracker potrebbe essere in grado di rubare password, numeri di carte di credito, cookie ed altre informazioni sensibili. In passato l’allarme è stato lanciato da alcune fra le più note organizzazioni per la sicurezza, tra cui lo US CERT .
“I siti Web considerano questa vulnerabilità di minore importanza – ha spiegato Jason Rafail dell’US CERT – ma per i visitatori si tratta di un problema di sicurezza e di privacy piuttosto grosso”.
In passato, vulnerabilità XSS hanno interessato buona parte dei siti Web più noti e visitati, tra cui quelli di AOL, Ebay, MSN, Excite e Lycos.
Ti potrebbe interessare
19 ott 2005