Link alla notizia: http://www.hwupgrade.it/news/sicurezza/disponibile-la-patch-per-risolvere-il-problema-di-sicurezza-di-internet-explorer_31379.html

Microsoft ha reso disponibile l'aggiornamento che risolve la vulnerabilità di Internet Explorer 6 al centro dell'attenzione negli ultimi giorni. Risolti altri 7 problemi noti

Click sul link per visualizzare la notizia.

Questo perchè era limitato ad IE6 ...

Questo perchè era limitato ad IE6 ...

No, in realtà era esteso anche al 7 e all'8, ma la vulnerabilità in quel caso era decisamente più ridotta. Queste almeno le info reperite in rete.

Mi è arrivata giusto ora la notifica da win update... pacchetto di aggiornamenti sicurezza per ie8.. e vabeh installiamo anche questa

Ma non era firefox il browser più vulnerabile secondo questa notizia? :p
link (http://www.hwupgrade.it/news/software/firefox-e-il-browser-piu-vulnerabile-seguito-a-ruota-da-safari_30736.html)

Più vulnerabile non vuol dire che gli altri hanno 0 vulnerabilità, ma che ne hanno di meno!! ;) :D

( no flames, è una risposta ironica ad un commenti ironico -credo/spero- )

che sciocchezze, firefox è il browser per cui vengono scoperte più vulnerabili

questa non è una cosa negativa ma positiva....significa che i bug si trovano ( è relativamente facile trovarli ) e si correggono

nel caso di ie invece abbiamo un bug che sta lì nascosto da anni ed è facile pensare che organizzazioni di un certo rilievo ne fossero a conoscenza da molti anni e l'abbiano usato per i loro scopi

Non penserai veramente che le autorità abbiano bisogno si una falla di explorer per mettere il naso nei fatti nostri ?

Sto fatto che ogni volta che si applica una patch all'Internet Explorer bisogna riavviare il computer è una palla tremenda... Perché bisogna riavviarlo? Non basterebbe chiudere tutte le istanze aperte di IE (e eventuali applicazioni che sfruttano il suo rendering engine) e ricaricare in memoria le nuove DLL modificate?

Trovata una falla, pronta la patch, si apre un'altra falla, e via cosi...

Sto fatto che ogni volta che si applica una patch all'Internet Explorer bisogna riavviare il computer è una palla tremenda... Perché bisogna riavviarlo? Non basterebbe chiudere tutte le istanze aperte di IE (e eventuali applicazioni che sfruttano il suo rendering engine) e ricaricare in memoria le nuove DLL modificate?

Anche su Mac OS X è la stessa cosa ad ogni aggiornamento di Safari ma spesso capita anche con aggiornamenti meno importanti. :muro:

pabloski: la tua è un'interpretazione personale dei numeri

Di norma i bug, almeno quelli che hanno una certa importanza, vengono sempre scoperti e tenuti riservati a uso e consumo di chi li sfrutta per i proprio interesse. La conseguenza del loro impiego è l'esposizione: la fai franca all'inizio, ma prima o poi qualcuno si accorge degli effetti e ricercandone le cause si accorge che c'è una falla. Da questo punto a poco diventa pubblica.

Nel contempo però chi si diverte, o campa, in questo modo viene a conoscenza di altre falle che può sfruttare: la ricerca continua è indispensabile per poter sopravvivere, perchè sai benissimo che la vita utile di un singolo bug è quella che è, e sfruttarlo lo accorcia ulteriormente.

Non a caso in questi giorni si parla di un bug presente in Windows da 17 anni. E' rimasto lì a far niente perchè nessuno lo ha sfruttato. Se qualcuno l'avesse fatto, sarebbe già stato chiuso. Non è detto che sempre sia così, ma è molto più facile che venga trovato il difetto dopo che questo si manifesta (in questo caso dopo che qualcuno ne approfitta) piuttosto che prima. Difficile che il meccanico ti trovi il guasto prima che questo non sia manifesto.

Altro parametro da considerare: la diffusione. La diffusione determina attenzione. Se io faccio un browser, beh, i bachi che si troveranno saranno pressochè esclusivamente solo quelli che trovo io. Se iniziano ad usarlo in mille, probabilmente qualcun'altro oltre me inizierà a trovarne. Se inizano ad usarlo tutti, il bugtrack diventerà enorme. :D

I bachi di Firefox vengono fuori proprio perchè c'è molta più attenzione su di lui rispetto al passato: più pressione => più bachi. Per lo meno fintanto il progetto non diventa stabile.

Qui si introduce un'altra variabile. La stabilità di un progetto. Ci sono progetti open che sono indiscutibilmente validi dal punto di vista della sicurezza perchè sono pressochè fermi nello sviluppo. Se sviluppi crei righe di codice, se c'è nuovo codice ci sono nuovi bachi. Se lo sviluppo è fermo il numero di bachi che andrai a scoprire tenderà allo 0 con il passare del tempo.

In tutto questo poi ovviamente incidono gli standard qualitativi di chi scrive il codice. Al di là dei luoghi comuni, basta informarsi un po' per scoprire che nel caso di Microsoft questi sono molto alti e il codice è verificato in lungo e in largo. Certamente questo non esclude i bachi, ma li riduce notevolmente.

Il punto di forza di Firefox è che sia un'alternativa, e pertanto desti meno interesse a chi scrive malware rispetto a IE; non per una questione di qualità del codice in assoluto. Anche perchè lo sviluppo di Firefox è piuttosto rapido: il rovescio della medaglia è che di bachi ne salteranno sempre fuori.

Sto fatto che ogni volta che si applica una patch all'Internet Explorer bisogna riavviare il computer è una palla tremenda... Perché bisogna riavviarlo? Non basterebbe chiudere tutte le istanze aperte di IE (e eventuali applicazioni che sfruttano il suo rendering engine) e ricaricare in memoria le nuove DLL modificate?

E mica è linux :stordita:

Scherzi a parte ho appena riavviato dopo l'update e dopo tanti anni che uso sia windows che linux, aver programmato in linguaggi differenti linguaggi nonchè aver programmato dll ecc. ecc. ancora non capisco perchè ti obbligano a riavviare a volte anche con update modesti.

Sicuramente i sistemi microsoft non hanno una struttura modulare come linux (kernel, applicazioni e desktop manager separati) ma a volte ho l'impressione che sia un sistema eccessivamente monolitico......

pabloski: la tua è un'interpretazione personale dei numeri

Di norma i bug, almeno quelli che hanno una certa importanza, vengono sempre scoperti e tenuti riservati a uso e consumo di chi li sfrutta per i proprio interesse. La conseguenza del loro impiego è l'esposizione: la fai franca all'inizio, ma prima o poi qualcuno si accorge degli effetti e ricercandone le cause si accorge che c'è una falla. Da questo punto a poco diventa pubblica.

Nel contempo però chi si diverte, o campa, in questo modo viene a conoscenza di altre falle che può sfruttare: la ricerca continua è indispensabile per poter sopravvivere, perchè sai benissimo che la vita utile di un singolo bug è quella che è, e sfruttarlo lo accorcia ulteriormente.

Non a caso in questi giorni si parla di un bug presente in Windows da 17 anni. E' rimasto lì a far niente perchè nessuno lo ha sfruttato. Se qualcuno l'avesse fatto, sarebbe già stato chiuso. Non è detto che sempre sia così, ma è molto più facile che venga trovato il difetto dopo che questo si manifesta (in questo caso dopo che qualcuno ne approfitta) piuttosto che prima. Difficile che il meccanico ti trovi il guasto prima che questo non sia manifesto.

Altro parametro da considerare: la diffusione. La diffusione determina attenzione. Se io faccio un browser, beh, i bachi che si troveranno saranno pressochè esclusivamente solo quelli che trovo io. Se iniziano ad usarlo in mille, probabilmente qualcun'altro oltre me inizierà a trovarne. Se inizano ad usarlo tutti, il bugtrack diventerà enorme. :D

I bachi di Firefox vengono fuori proprio perchè c'è molta più attenzione su di lui rispetto al passato: più pressione => più bachi. Per lo meno fintanto il progetto non diventa stabile.

Qui si introduce un'altra variabile. La stabilità di un progetto. Ci sono progetti open che sono indiscutibilmente validi dal punto di vista della sicurezza perchè sono pressochè fermi nello sviluppo. Se sviluppi crei righe di codice, se c'è nuovo codice ci sono nuovi bachi. Se lo sviluppo è fermo il numero di bachi che andrai a scoprire tenderà allo 0 con il passare del tempo.

In tutto questo poi ovviamente incidono gli standard qualitativi di chi scrive il codice. Al di là dei luoghi comuni, basta informarsi un po' per scoprire che nel caso di Microsoft questi sono molto alti e il codice è verificato in lungo e in largo. Certamente questo non esclude i bachi, ma li riduce notevolmente.

Il punto di forza di Firefox è che sia un'alternativa, e pertanto desti meno interesse a chi scrive malware rispetto a IE; non per una questione di qualità del codice in assoluto. Anche perchè lo sviluppo di Firefox è piuttosto rapido: il rovescio della medaglia è che di bachi ne salteranno sempre fuori.


di bachi su firefox ne vengono scoperti (e corretti) di più sopratutto perchè è opensource. Se lo fosse stato anche IE questo bug si sarebbe già conosciuto da prima, così come il bug che ha creato il caos di qualche giorno fa.

I bug che su IE non vengono scoperti, esistono lo stesso ma semplicemente li conoscono solo: Microsoft e chi li sfrutta. Stop. MAn mano che fanno danno MS se ne accorge.. Finche non ci sono migliaia di persone o aziende colpite se ne fregano.

Il browser più sicuro, paradossalmente, è quello per cui vengono rilevati più bachi e più in fretta. Solo una cosa è certa, tutti i software sono buggati, ma chi può disporre di correzioni veloci e quotidiane è il migliore.

Scherzi a parte ho appena riavviato dopo l'update e dopo tanti anni che uso sia windows che linux, aver programmato in linguaggi differenti linguaggi nonchè aver programmato dll ecc. ecc. ancora non capisco perchè ti obbligano a riavviare a volte anche con update modesti.
Sono dello stesso avviso.

Sicuramente i sistemi microsoft non hanno una struttura modulare come linux (kernel, applicazioni e desktop manager separati) ma a volte ho l'impressione che sia un sistema eccessivamente monolitico......
Non ne sono così convinto. ;)

Non ne sono così convinto. ;)

Ovviamente la mia è solo un ipotesi, non conosco bene la struttura di windows tanto quanto quella si un sistema gnu/linux e quindi non posso valutare alcuni aspetti, ma a rigor di logica IE è o almeno dovrebbe essere un'applicazione e quindi se applico una patch ad IE perchè dovrei riavviare tutto il sistema?

Possibile che IE sia così intimamente legato al s.o. (o meglio al kernel del s.o. per dirla così) tanto da imporre un reboot?

E mica è linux :stordita:

Scherzi a parte ho appena riavviato dopo l'update e dopo tanti anni che uso sia windows che linux, aver programmato in linguaggi differenti linguaggi nonchè aver programmato dll ecc. ecc. ancora non capisco perchè ti obbligano a riavviare a volte anche con update modesti.

Sicuramente i sistemi microsoft non hanno una struttura modulare come linux (kernel, applicazioni e desktop manager separati) ma a volte ho l'impressione che sia un sistema eccessivamente monolitico......

Beh a me è capitato di riavviare Ubuntu per via degli aggiornamenti (anche se questi non erano relativi al kernel).

Il desktop manager da Vista in poi è in user mode, non più nel kernel, Vista/7 sono molto meno monolitici di XP sicuramente, ovviamente le applicazioni sono in user mode.

Se viene chiesto di riavviare per l'aggiornamento di IE è cmq probabile che il motore di rendering di IE sia in uso da qualcuno o forse è cachato in RAM e dunque si preferisce il reboot.

ma io cn w7 x64 non vedo nuovi aggiornamenti, è solo per xp??

ma sono quei 9,3 mb che ho visto??? alla facciazza, cos'è, hanno riprogrammato per intero ie?

o deve essere un enorme insetto da abbattere

Ovviamente la mia è solo un ipotesi, non conosco bene la struttura di windows tanto quanto quella si un sistema gnu/linux e quindi non posso valutare alcuni aspetti, ma a rigor di logica IE è o almeno dovrebbe essere un'applicazione e quindi se applico una patch ad IE perchè dovrei riavviare tutto il sistema?

Possibile che IE sia così intimamente legato al s.o. (o meglio al kernel del s.o. per dirla così) tanto da imporre un reboot?

Credo che la maggior parte dei riavvi richiesti siano facilmente evitabili e non credo che Internet Explorer sia intimamente legato al kernel di Windows.

ma sono quei 9,3 mb che ho visto??? alla facciazza, cos'è, hanno riprogrammato per intero ie?

me lo sono chiesto anche io quando l'ho visto...sono rimasto ancora più sorpreso quando ho visto che per win 2k3 x64 erano 40/50 mb

Poi ho scoperto (bastava leggere la news) che in realtà è un aggiornamento cumulativo quindi hanno inserito anche altri aggiornamenti nello stesso pacchetto.

Certo, ci sarebbe da chiedersi perche' un buco segnalato in settembre (http://news.cnet.com/8301-27080_3-10439004-245.html) sia stato corretto solo *dopo* che Germania, Francia e Australia avevano invitato i propri cittadini ad utilizzare un'altro browser (provocando un aumento dei download di FF in Germania leggermente mostruoso (http://blog.mozilla.com/metrics/2010/01/19/people-in-germany-are-switching-browsers/)...)

Certo, ci sarebbe da chiedersi perche' un buco segnalato in settembre (http://news.cnet.com/8301-27080_3-10439004-245.html) sia stato corretto solo *dopo* che Germania, Francia e Australia avevano invitato i propri cittadini ad utilizzare un'altro browser (provocando un aumento dei download di FF in Germania leggermente mostruoso (http://blog.mozilla.com/metrics/2010/01/19/people-in-germany-are-switching-browsers/)...)

stavo per fare i complimenti a MS per la tempistica di risoluzione....

scusate se lo chiedo ma è vera questa cosa che era stato segnalato a settembre??

L'aggiornamento di IE non è roba da poco và ad incidere su una grossa parte del SO. A differenza di come detto linux ha un kernel monolitico, che è diventato a moduli per esigenza. Il kernel di windows invece è nato per essere molto più modulare, in quanto è composto da un kernel, e una serie di funzioni del SO che girano come se fossero dei processi insieme hai processi utente, ovviamente hanno due modi di esecuzione differenti quelli di SO suppongo che girino in kernel mode mentre gli altri in user mode.

Sembrerebbe di si:

http://blogs.technet.com/msrc/archive/2010/01/21/bulletin-ms10-002-released.aspx

[..]As we noted in our blog post yesterday, this Internet Explorer security update was already planned for release in February. When the attack discussed in Security Advisory 979352 was first brought to our attention on Jan 11, we quickly released an advisory for customers three days later. As part of that investigation, we also determined that the vulnerability was the same as a vulnerability responsibly reported to us and confirmed in early September. [..]

Da tempo uso OPERA con gran soddisfazione.
Explorer penso sia un pessimo browser.

Da tempo uso OPERA con gran soddisfazione.
Explorer penso sia un pessimo browser.

Explorer 6 era un pessimo browser (d'altronde prima di Firefox non c'era un vero "concorrente"), l'8 già si salva per quanto riguarda il supporto agli standard (anche la velocità non è male, specialmente della versione 64bit), tra l'altro le varie tab sono a tutti gli effetti processi indipendenti. IE 9 supporterà l'accelerazione grafica tramite Direct2D, si spera sarà più compatibile con gli standard e migliorerà il motore javascript rendendolo alla pari di Firefox 3.6.

Ovviamente la concorrenza fa bene a tutti ;).

safari dicono che è peggio di explorer a falle

vero, il migliore oggi è chrome 3,sicuramente..., firefox è una ciofeca!

A me questo aggiornamento mi ha causato solo problemi su Vista SP1, dopo averlo installato MSN e la connessione a banda larga non funzionavano più e mi davano errori di connessione ai server e robe del genere...subito disinstallata e adesso tutto funziona perfettamente come prima, sinceramente preferisco beccarmi qualche attacco cinese che non poter andare su MSN XD

Al di là di tutto, per me l'IE ha sempre un grosso problema che era molto presente nella versione 7 e non è del tutto sparito nella sua versione 8: dà un'impressione di PESANTEZZA superiore a quella degli altri browser.
Ad esempio: apro l'IE e navigo. Dopodiché decido di aprire una nuova TAB cliccando sull'apposito bottone... Che succede? Sulla nuova tab appare per qualche istante una scritta "Connessione in corso" e poi dopo un po' si trasforma in "Nuova scheda" e finalmente sotto compare la pagina "Che cosa si desidera fare ora?".
Facendo la stessa cosa su Firefox, ovvero cliccando sul bottone di creazione nuova tab, in maniera praticamente istantanea compare una nuova scheda e pagina vuota sotto.
Sono questi piccoli dettagli che mi colpiscono, durante l'utilizzo quotidiano, e che mi fanno propendere per un browser piuttosto che per l'altro. A livello di sicurezza poi, penso che oramai un browser valga l'altro. L'importante è tenere sempre tutto aggiornato ed evitare di andare volontariamente su siti poco affidabili.

L'aggiornamento di IE non è roba da poco và ad incidere su una grossa parte del SO. A differenza di come detto linux ha un kernel monolitico, che è diventato a moduli per esigenza. Il kernel di windows invece è nato per essere molto più modulare, in quanto è composto da un kernel, e una serie di funzioni del SO che girano come se fossero dei processi insieme hai processi utente, ovviamente hanno due modi di esecuzione differenti quelli di SO suppongo che girino in kernel mode mentre gli altri in user mode.

Penso che stiamo andando troppo OT ma a questo punto sono costretto a rispondere.
1) I kernel linux sono configurabili e modulari da tempo immemore (monolitici, microkernel, esokernel, modulari ecc. ecc.), di sicuro da quando lo uso io ma direi più di 15 anni se non ricordo male. Pensa tu con appena 50mb di ram faccio partire il mio muletto, ti sfido a farlo con qualsiasi versione di windows (se non è modularità questa :D ).

2)E' probabile, molto probabile che IE abbia più di una dll o qualche libreria o processo che condivide con il s.o. ma da qui a dire che và ad incidere su grossa parte del sistema operativo......Discorso apparte se ovviamente parliamo di patch cumulative

ovviamente stiamo facendo supposizioni, non avendo a disposizione il codice sorgente o qualche altro riferimento alla struttura del s.o. in questione è quasi impossibile determinare

Penso che stiamo andando troppo OT ma a questo punto sono costretto a rispondere.
1) I kernel linux sono configurabili e modulari da tempo immemore (monolitici, microkernel, esokernel, modulari ecc. ecc.), di sicuro da quando lo uso io ma direi più di 15 anni se non ricordo male. Pensa tu con appena 50mb di ram faccio partire il mio muletto, ti sfido a farlo con qualsiasi versione di windows (se non è modularità questa :D ).

2)E' probabile, molto probabile che IE abbia più di una dll o qualche libreria o processo che condivide con il s.o. ma da qui a dire che và ad incidere su grossa parte del sistema operativo......Discorso apparte se ovviamente parliamo di patch cumulative

ovviamente stiamo facendo supposizioni, non avendo a disposizione il codice sorgente o qualche altro riferimento alla struttura del s.o. in questione è quasi impossibile determinare

non so questo possa aiutare a risolvere eventuali dubbi sulla struttura dell'os di windows..
dal sito basta scaricare il WRK - windows research kernel (click qui (http://www.microsoft.com/resources/sharedsource/Licensing/WindowsAcademic.mspx)).. se volete darci un'occhiata..
oppure cliccate qua (https://www.facultyresourcecenter.com/curriculum/pfv.aspx?ID=7366&Login=) x la pagina di dowload(i due link sono di microsoft..)
(NB: x il download è richiesto un indirizzo msn/hotmail/live)

PS:chiedo scusa ai mod se ho fatto qualcosa che non potevo fare.

Ovviamente la mia è solo un ipotesi, non conosco bene la struttura di windows tanto quanto quella si un sistema gnu/linux e quindi non posso valutare alcuni aspetti, ma a rigor di logica IE è o almeno dovrebbe essere un'applicazione e quindi se applico una patch ad IE perchè dovrei riavviare tutto il sistema?

Possibile che IE sia così intimamente legato al s.o. (o meglio al kernel del s.o. per dirla così) tanto da imporre un reboot? questo ragionamento in fin dei conti é onestissimo, infatti la maggior parte delle volte non é necessario il reboot ma solo il logoff e successivo logon, e ho idea che non sarebbe necessario neanche quello a dire la veritá: l'unica cosa indispensabile é riavviare la shell grafica, cioé il processo explorer.exe, che utilizza alcuni pezzi di IE.

in generale il reboot di Windows é necessario solo quando sono stati installati o aggiornati drivers o servizi la cui modalitá di avvio é lo start automatico al boot del sistema, piu naturalmente quando vengono aggiornate parti del sistema (drivers Microsoft o kernel del sistema).

stra quoto.. cmq se guardi quali dll carica internet explorer, e poi guardi quali dll carica explorer.exe, noterai che almeno 1/3 di queste dll sono condivise non solo tra loro due ma anche con tutti gli altri programmi che hanno una shell grafica all'interno di windows.. per citarne alcune: ntdll.dll; kernel32.dll; user32.dll; gdi32.dll; e altre che ora nn ricordo quali siano (questo su windows xp.. penso che su vista sia uguale.. cmq se nn sbaglio su seven nn bisogna riavviare dopo gli aggiornamenti, o no? un amico mi aveva detto che il riavvio nn è più richiesto dopo gli aggiornamenti.. qualcuno può illuminarmi a riguardo?.. cmq se su seven è vero che nn bisogna fare il riavvio, xk lamentarsi del riavvio?)
cmq nn so a voi a me è aumentato il numero di schermate blu da dopo che ho messo l'aggiornamento di IE8.. sarà solo un caso?

Dico che è parte importante solo per il semplice fatto che il motore di IE viene usato anche per la navigazione nelle directory. Di come funzionano i SO ne sono sicuro, visto che lo studio, Il kernel di linux è monolitco e ciò che è modulare sono per la punto i moduli o driver. Che poi una serie di moduli siano presenti già a livello kernel poco importa.
Poi non lo dico io questo, basta leggere:
http://it.wikipedia.org/wiki/Linux

per citarne alcune: ntdll.dll; kernel32.dll; user32.dll; gdi32.dll; ntdll.dll e kernel32.dll sono caricate sempre in tutti i processi: ntdll.dll contiene degli stub che invocano le "syscall" di Windows e sono usati dai vari subsystems (senza di quella un programma non potrebbe fare nulla), mentre kernel32.dll esporta API Win32 per la gestione di thread, processi e altre funzionalitá di sistema ed implementa alcune caratteristiche di gestione del processo in modalitá utente (per esempio gestisce gli stack dei thread, quindi é anch'essa essenziale in qualunque programma).

le altre DLL che hai citato invece implementano parti del subsystem Win32: user32.dll implementa la gestione delle finestre e gdi32.dll la vecchia grafica; tipicamente si aggiunge anche advapi32.dll che espone funzionalitá di vario genere tra cui l'accesso al registro. se poi ci sta pure comctl32.dll vuol dire che il programma usa qualcuno dei "nuovi" controlli grafici introdotti da IE4 nella notte dei tempi (tree views, list views, toolbars, ecc.).

a tutto ció fanno eccezione i programmi basati su .NET che importano solamente la DLL del CLR, la quale a sua volta importa tutte le altre di cui sopra.

Dico che è parte importante solo per il semplice fatto che il motore di IE viene usato anche per la navigazione nelle directory. "motore di IE" vuol dire tutto e niente: di certo il mio Vista (ma neanche Seven) non usa l'ActiveX "Microsoft Web Browser" per visualizzare il contenuto di una cartella. Spy++ mi rivela che utilizza una list view, che é uno dei controlli grafici introdotti nella notte dei tempi da IE4 (vedi post precedente), ma oggi non lo si puó piu considerare parte di IE perché i Common Controls vengono distribuiti con Windows e sono documentati in MSDN nella sezione di Win32 e COM assieme a tutti gli altri controlli predefiniti. stesso discorso per la tree view che é possibile visualizzare a sinistra.