[NEWS] Internet Explorer: Falla Cross-Zone Script

[c.m.g]

16 maggio 2008 alle 20.56 di netquik



Il ricercatore di sicurezza israeliano Aviv Raff ha pubblicato giorni fa i dettagli riguardo ad una nuova vulnerabilità "zero-day" isolata nel browser Microsoft Internet Explorer. Secondo Raff, Internet Explorer è affetto da una vulnerabilità di Cross-Zone Scripting nella funzionalità "Stampa tabella dei collegamenti" che permette agli utenti di aggiungere ad un pagina web in stampa un'appendice che include una tabella di tutti i collegamenti presenti nella pagina stessa.

Un attacker potrebbe facilmente aggiungere un collegamento modificato ad arte ad una pagina web (per esempio sul sito web personale, nei commenti dei blog, nelle reti sociali, su Wikipedia, etc.) in modo tale da essere in grado, quando l'utente tenta di stampare questa pagina con quella funzione, di eseguire codice arbitrario sulla macchina dell'utente (per esempio per ottenere il controllo completo).

Le versioni di Internet Explorer affette da questa vulnerabilità includono Internet Explorer 7.0 e 8.0 Beta 1 su un sistema Windows XP completamente aggiornato. Windows Vista con la funzionalità UAC attivata risulta parzialmente affetto (con rischio limitato ad Information Leakage). Anche le versioni più vecchie di Internet Explorer potrebbero essere affette dalla medesima falla di sicurezza, avverte Raff.

Dettagli tecnici sulla vulnerabilità: Quando un utente stampa una pagina web, Internet Explorer utilizza uno script di risorsa locale che genera nuovo codice HTML da mandare in stampa. Questo HTML include i seguenti elementi: Header, corpo della pagina web, Footer, e se abilitata, anche la tabella di collegamenti presenti nella pagina web.

Sebbene lo script estragga solo il testo incluso nei dati interni del link, non esegue una validazione degli URL dei collegamenti, e li aggiunge al codice HTML, così come sono. Questo permette di iniettare uno script che sarà eseguito quanto il nuovo codice HTML viene generato.


Aviv Raff commenta: "Come detto in un precedente intervento, la maggior parte delle risorse locali in Internet Explorer si eseguono ora nell'area Internet. Sfortunatamente lo script di risorsa locale di stampa si esegue nell'area locale (Local Machine Zone), e questo significa che qualsiasi script iniettato può eseguire codice arbitrario sulla macchina dell'utente".

Raff ha pubblicato anche un "Proof of Concept" per dimostrare l'exploit della falla di sicurezza. Nel suo exploit (ora reso pubblico su milw0rm) il tentativo di stampa della tabella dei collegamenti porta all'esecuzione della Calcolatrice di Windows sul computer dell'utente.

Il ricercatore ha contattato Microsoft riguardo la problematica 3 giorni fa. Microsoft ha affermato di star indagando sul problema e di star lavorando ad un fix appropriato. Fino al rilascio di una patch ufficiale per la vulnerabilità, Raff consiglia di non utilizzare la funzionalità "Stampa tabella dei collegamenti" quando si stampa una pagina web.

Links per approfondimenti:

Report @ Aviv Raff Blog
Exploit @ milw0rm.com



Fonte: Aviv Raff via Tweakness