Gravi falle in Internet Explorer

E’ stato definito “critico” il livello di gravità delle recenti falle di sicurezza riguardanti tutte le versioni di Internet Explorer; Microsoft, in un bollettino di sicurezza rivolto a tutti gli utilizzatori del software, ha pertanto invitato gli amministratori di sistema di applicare al più presto la patch resa disponibile sul sito.

La patch è cumulativa; include infatti le funzionalità di tutti gli aggiornamenti precedenti per Internet Explorer 5.01, Internet Explorer 5.5 e Internet Explorer 6.0 e consente di eliminare anche le tre nuove vulnerabilità.

Gravi i rischi per i sistemi nei quali non sia applicata la patch: un assalitore sfruttando le falle di sicurezza potrebbe infatti eseguire un codice da remoto ed accedere ad informazioni contenute in file presenti sul sistema colpito.

La prima vulnerabilità è relativa al modello di protezione tra domini differenti (registro della cronologia). Sfruttando questa vulnerabilità un utente malintenzionato potrebbe utilizzare un sito Web per accedere a informazioni appartenenti a un diverso dominio Internet o Intranet oppure al sistema locale dell'utente. Questo può inoltre consentire all'autore dell'attacco di lanciare un file eseguibile non autorizzato sul sistema dell'utente.

La seconda vulnerabilità è relativa alle operazioni di trascinamento della selezione (puntatore a funzione) e potrebbe essere sfruttata da un hacker per salvare codice non autorizzato sul sistema dell’utente.
Il codice non può essere eseguito direttamente sfruttando questa vulnerabilità, tuttavia se il file viene collocato in un percorso particolare può essere aperto dal sistema operativo, oppure inavvertitamente da un utente, provocando l'esecuzione del codice introdotto dall'autore dell'attacco.

L’ultima vulnerabilità coinvolge la barra degli indirizzi utilizzata da Internet Explorer per visualizzare il sito Web visitato. Tale vulnerabilità potrebbe consentire che nella barra degli indirizzi sia riportato un URL non corretto, ovvero non corrispondente all'URL della pagina Web effettivamente visualizzata in Internet Explorer.

La patch è disponibile sul sito di Microsoft.