ActiveX al veleno per Microsoft Windows

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwupgrade.it/news/sicurezza/19146.html

Un controllo ActiveX vulnerabile e un exploit pubblico scoperto lo scorso venerdì stanno facendo alzare i livelli di allertra tra le società di sicurezza e Microsoft

Click sul link per visualizzare la notizia.

[Max Power]

Che culo.

[Cosimo]

Io uso firefox ... Non mi affetta

[ilGraspa]

Del resto sono sempre stato scettico sull'effettiva utilità degli activeX, e questo bug stronca sul nascere la mia voglia di provare IE7

[DevilsAdvocate]

Wow, una release fuori dal ciclo mensile e' cosa rara, non arriva alla
velocita' con cui hanno corretto la porpria piattaforma DRM (visto che
Secunia ha beccato questo bug venerdi' o sabato), ma comunque sarebbe
una gran bella mossa nei confronti degli utenti.....

[Guitarscorpio]

Veramente ho installato questa mattina tramite Microsoft Update l'aggiornamento 925673 "MSXML 6.0 RTM Security Update" che patcha proprio una vulnerabilità del Microsoft XML Core Services.
Quindi MS non sta valutando se, ma ha già rilasciato la patch.

[DevilsAdvocate]

Originariamente inviato da Guitarscorpio

Veramente ho installato questa mattina tramite Microsoft Update l'aggiornamento 925673 "MSXML 6.0 RTM Security Update" che patcha proprio una vulnerabilità del Microsoft XML Core Services.
Quindi MS non sta valutando se, ma ha già rilasciato la patch.

Uh? Allora si son dimenticati di aggiornare la pagina dell'annuncio,
che per ora mostra solo i workaround.
Cmq per una volta tanto complimenti alla MS, meno di una settimana
per fixare un baco critico.

[dsajbASSAEdsjfnsdlffd]

gli activex sono veramente una fogna purtroppo ormai se li devono tenere sul groppone.

[Kralizek]

considerate che XMLHTTP viene utilizzato dalle pagine che usano AJAX :P

[Pandrin2006]

Un grave bug insomma, che fa premere sempre di più l'acceleratore sul rilascio del nuovo sistema operativo

che diavolo centra Windows Vista con questo bug?

IE7 usa il proprio XML interno e NON questo controllo ActiveX vulnerabile.

Tool -> Internet Options -> Advanced -> Enable native XMLHTTP support (attivo di default!)

IE7 NON è vulnerabile.

[dragonheart81]

Originariamente inviato da Cosimo

Io uso firefox ... Non mi affetta

Idem

[overmarck]

Passate a linux

[71104]

Originariamente inviato da overmarck

Passate a linux

hm, tu devi essere un esperto

[capitan_crasy]

Originariamente inviato da Pandrin2006

che diavolo centra Windows Vista con questo bug?

IE7 usa il proprio XML interno e NON questo controllo ActiveX vulnerabile.

Tool -> Internet Options -> Advanced -> Enable native XMLHTTP support (attivo di default!)

IE7 NON è vulnerabile.

rileggi bene la notizia:

Originariamente inviato da Marco Giuliani

...
Insomma, questa volta la colpa non è del noto browser Internet Explorer, sebbene sia esso il tramite per l'infezione del pc anche nell'ultima versione 7 da poco rilasciata. La colpa è di un errore nel Microsoft XML Core Services di Windows
...
Il dipartimento per la sicurezza nazionale americana (Department of Homeland Security) ha rilasciato un bollettino per avvisare della gravità della falla, che colpisce essenzialmente i sistemi operativi Microsoft 2000/XP/2003.
...
Un grave bug insomma che fa premere sempre di più l'acceleratore sul rilascio del nuovo sistema operativo

Dove leggi che Vista è affetto da questo BUG???

[Tommy.73]

Sapreste spiegarmi in due parole a cosa serve ActiveX?
Ho visto che nel firewall integrato nel mio router c'è la voce "Enable Restrict Web Feature: ActiveX" che suppongo li blocchi tutti indistintamente. Quali ripercussioni pratiche avrei se li bloccassi? Quali limitazioni incontrerei nel navigare, fare un download, aggiornare un software presente nel sistema, leggere la posta, un forum, partecipare ad un'asta, ecc..?
Grazie.

[Pandrin2006]

Originariamente inviato da capitan_crasy

Dove leggi che Vista è affetto da questo BUG???

mi spieghi il significato di questa frase scritta nell'articolo?
"Un grave bug insomma, che fa premere sempre di più l'acceleratore sul rilascio del nuovo sistema operativo"
Un grave bug il quale fa premere sempre di più l'acceleratore...
L'italiano è chiarissimo...
Quindi mi chiedo quale relazione ci sarebbe fra questo bug e col fatto che venga spinto l'acceleratore sul rilascio del nuovo sistema operativo Vista??
La notizia è quindi errata, almeno in quest'ultima frase che ti ho fatto notare, perchè non centra niente!

[MenageZero]

Originariamente inviato da Guitarscorpio

Veramente ho installato questa mattina tramite Microsoft Update l'aggiornamento 925673 "MSXML 6.0 RTM Security Update" che patcha proprio una vulnerabilità del Microsoft XML Core Services.
Quindi MS non sta valutando se, ma ha già rilasciato la patch.

non è affatto detto che si tratti dello stesso bug, anche xché la news lo riporta per la vers. 4 di quella libreria, la patch da te scaricata è per la vers. 6
(la vers 3 è quella inclusa di default in xpsp2, le versioni successive non sovrascrivono le precedenti e tutte rimangono disponibili nel sistema allo stesso tempo, come librerie separate, per le applicazioni che fanno uso di ciascuna specifica versione)

[MenageZero]

Originariamente inviato da Kralizek

considerate che XMLHTTP viene utilizzato dalle pagine che usano AJAX :P

(nella sfortuna) per fortuna msxml4.dll non è presente di default in winxpsp2

[MenageZero]

Originariamente inviato da DevilsAdvocate

Uh? Allora si son dimenticati di aggiornare la pagina dell'annuncio,
che per ora mostra solo i workaround.
Cmq per una volta tanto complimenti alla MS, meno di una settimana
per fixare un baco critico.

potrebbe anche non essere così (vedi mio altro post)...

ma (ricordando se non erro da altri thread che le tue simpatie vanno più verso animali polari come i "pinguini" anziché verso le "finestre")è sempre bello vedere commentare semplicemente in base al fatto specifico anziché prima di tutto in base alle proprie simpatie/antipatie generali

( ... tipo:

Originariamente inviato da overmarck

Passate a linux

)

[MenageZero]

"Attualmente un utente, semplicemente navigando in un determinato sito web volutamente modificato, può rimanere infetto"

si intende, per esempio, che lo specifica applet activex fatta apposta per far danno (e incorporata in una pagina web, ovviamente) va a chiamare con parametri opportuni la routine buggata nella vers. 4 della libreria, se quest'ultima è presente sul sistema ?

(perché ie6 e predecessori sicuramente non usano di default tale versione ion quanto non presente di default nel sistema, si dice che ie7 ci rimane fregato come gli altri, ma azzarderi che di default per una xmlhttprequest se non usa routine "native" -suppongo inteso come funzioni facenti parte del codice specificamente parte di ie7-, usa l'ultima versione di msxml, la 6... quindi l'unico modo che mi viene in mente è quello rozzamente espresso sopra...)

grazie anticipatamente a chiunque per qualunque eventuale chiarimento/approfondimento