[NEWS] Falla URI, arriva la patch di Microsoft

c.m.g · 14-11-2007, 00:16

mercoledì 14 novembre 2007

Redmond (USA) - Come promesso lo scorso mese, Microsoft ha pubblicato una patch che dovrebbe porre fine ai seri problemi di sicurezza introdotti in Windows XP e 2003 da Internet Explorer 7. Problemi legati alla gestione degli URI (Uniform Resource Identifier), e alla possibilità, per un malintenzionato, di creare indirizzi web, mail o di altro tipo in grado di eseguire comandi e programmi senza l'autorizzazione dell'utente.

La vulnerabilità ha interessato molte applicazioni, tra le quali Acrobat e Adobe Reader, FoxIT Reader, Skype, Firefox, Netscape, Miranda IM, Outlook Express e Outlook 2000. Quasi tutti i produttori hanno rilasciato nelle scorse settimane delle correzioni al problema, ma la stessa Microsoft ha recentemente ammesso che tali patch non bastano: per risolvere del tutto il problema era necessario agire a monte, modificando il modo in cui le API di Windows filtrano gli URI non validi.

La patch di Microsoft è arrivata ieri con il rilascio del bollettino MS07-061, classificato di importanza "critica".

L'unico altro bollettino pubblicato ieri, l'MS07-062, risolve invece una vulnerabilità classificata "importante" nel servizio DNS di Windows 2000 e 2003. Vulnerabilità causata da una debolezza nel generatore di numeri pseudo-casuali di Windows, che un abile cracker potrebbe sfruttare per lanciare attacchi di DNS spoofing e dirottare il traffico Internet verso un server a sua scelta.

Proprio negli scorsi giorni alcuni ricercatori dell'Università di Haifa, in Israele, hanno pubblicato un documento in cui analizzano un potenziale problema di sicurezza legato al generatore di numeri pseudo-casuali di Windows. Non è chiaro se il problema descritto dai ricercatori israeliani sia relazionato a quello appena corretto da Microsoft: in ogni caso, nel documento si focalizza l'attenzione sulle conseguenza che la debolezza potrebbe avere sulla solidità degli algoritmi di cifratura. Si veda a tal proposito l'articolo Cifratura di Windows, rischi in vista? pubblicato sul numero odierno di Punto Informatico.

Microsoft ha anche rilasciato una serie di aggiornamenti per Windows Vista, non relativi alla sicurezza, che è possibile scaricare dai link forniti in questo post. Gli update promettono di migliorare la compatibilità, la stabilità e l'affidabilità di Vista, correggere alcuni bug relativi alla gestione dell'interfaccia USB e migliorare l'interazione fra Windows Media Center e Xbox 360.

Fonte: Punto Informatico

Bugs Bunny · 14-11-2007, 09:40

grazie per la segnalazione

c.m.g · 14-11-2007, 09:54

Quote:

Originariamente inviato da Bugs Bunny

grazie per la segnalazione

di niente!

14-11-2007, 00:16	#1
c.m.g Senior Member Iscritto dal: Mar 2006 Messaggi: 22121	[NEWS] Falla URI, arriva la patch di Microsoft mercoledì 14 novembre 2007 Redmond (USA) - Come promesso lo scorso mese, Microsoft ha pubblicato una patch che dovrebbe porre fine ai seri problemi di sicurezza introdotti in Windows XP e 2003 da Internet Explorer 7. Problemi legati alla gestione degli URI (Uniform Resource Identifier), e alla possibilità, per un malintenzionato, di creare indirizzi web, mail o di altro tipo in grado di eseguire comandi e programmi senza l'autorizzazione dell'utente. La vulnerabilità ha interessato molte applicazioni, tra le quali Acrobat e Adobe Reader, FoxIT Reader, Skype, Firefox, Netscape, Miranda IM, Outlook Express e Outlook 2000. Quasi tutti i produttori hanno rilasciato nelle scorse settimane delle correzioni al problema, ma la stessa Microsoft ha recentemente ammesso che tali patch non bastano: per risolvere del tutto il problema era necessario agire a monte, modificando il modo in cui le API di Windows filtrano gli URI non validi. La patch di Microsoft è arrivata ieri con il rilascio del bollettino MS07-061, classificato di importanza "critica". L'unico altro bollettino pubblicato ieri, l'MS07-062, risolve invece una vulnerabilità classificata "importante" nel servizio DNS di Windows 2000 e 2003. Vulnerabilità causata da una debolezza nel generatore di numeri pseudo-casuali di Windows, che un abile cracker potrebbe sfruttare per lanciare attacchi di DNS spoofing e dirottare il traffico Internet verso un server a sua scelta. Proprio negli scorsi giorni alcuni ricercatori dell'Università di Haifa, in Israele, hanno pubblicato un documento in cui analizzano un potenziale problema di sicurezza legato al generatore di numeri pseudo-casuali di Windows. Non è chiaro se il problema descritto dai ricercatori israeliani sia relazionato a quello appena corretto da Microsoft: in ogni caso, nel documento si focalizza l'attenzione sulle conseguenza che la debolezza potrebbe avere sulla solidità degli algoritmi di cifratura. Si veda a tal proposito l'articolo Cifratura di Windows, rischi in vista? pubblicato sul numero odierno di Punto Informatico. Microsoft ha anche rilasciato una serie di aggiornamenti per Windows Vista, non relativi alla sicurezza, che è possibile scaricare dai link forniti in questo post. Gli update promettono di migliorare la compatibilità, la stabilità e l'affidabilità di Vista, correggere alcuni bug relativi alla gestione dell'interfaccia USB e migliorare l'interazione fra Windows Media Center e Xbox 360. Fonte: Punto Informatico __________________ Questa opera è distribuita secondo le regole di licenza Creative Commons salvo diversa indicazione. Chiunque volesse citare il contenuto di questo post deve necessariamente riportare il link originario. Ultima modifica di c.m.g : 14-11-2007 alle 10:01.

14-11-2007, 09:40	#2
Bugs Bunny Senior Member Iscritto dal: Aug 2005 Città: Genova Messaggi: 3397	grazie per la segnalazione

Strumenti
Mostra una versione stampabile Invia questa pagina per email