Internet Explorer: a rischio milioni di utenti

[SiSteMa team]

http://www.repubblica.it/2008/11/sezion ... ref=hpspr1

Una falla in Internet Explorer mette a rischio milioni di utenti

Il buco di sicurezza scoperto dai pirati informatici. L'utente rischia il furto di password e i dati personali. Microsoft lo sa, ma al momento non ha fornito un rimedio. Forse a gennaio. Gli esperti: per ora usate browser alternativi
di ALESSANDRO LONGO

NAVIGARE tramite il browser più popolare, Internet Explorer di Microsoft, è ora piuttosto rischioso. L'utente corre il pericolo che gli rubino le password e i dati personali, per colpa di un buco di sicurezza scoperto dai pirati, nel codice del browser. Microsoft lo sa, ma al momento non ha fornito un rimedio: bisognerà aspettare, si prevede, la prossima tornata di aggiornamenti automatici per il browser, attesa per il 9 gennaio.

Il pericolo è stato scoperto la settimana scorsa, ma nel frattempo è montato a tal punto da spingere alcuni esperti di sicurezza (come quelli di Trend Micro) a dare un insolito e radicale consiglio agli utenti: di non usare il browser finché il problema non sarà risolto da Microsoft. E quindi di navigare solo con alternative quali Firefox, Safari, Chrome. Microsoft consiglia alcuni rimedi provvisori, per navigare con Internet Explorer evitando il pericolo. Sono però configurazioni da fare sul computer, complicate per gli utenti alle prime armi. Certo è più facile cambiare browser, almeno temporaneamente.

La falla di sicurezza, del resto, riguarda tutte le versioni di Internet Explorer, persino la nuovissima beta di Internet Explorer 8. Funziona così: i pirati riescono a nascondere un programma infetto su siti, anche legittimi - finora ne sono stati colpiti 10 mila e il conto continua a crescere, secondo gli esperti. Quando l'utente naviga con Internet Explorer su quei siti, riceve un attacco. Il sito cioè, sfruttando la falla del browser, gli invia il programma, che si installa sul suo computer e diventa d'allora in poi come una porta sempre aperta per i pirati. Che potranno così rubargli le password (via internet e senza che l'utente se ne accorga) o compiere altre azioni. Possono danneggiare l'utente in vario modo, non c'è limite alla fantasia: basta programmare in modo diverso il codice infetto che fa parte dell'attacco.


Ci mancava solo questa per coronare un anno terribile per il browser di Microsoft, mai come adesso super assediato dai rivali. Per la prima volta in dieci anni, la quota di mercato di Internet

Explorer è scesa sotto il 70 per cento (al 69,8 per cento), secondo i rilievi di Net Applications. Al secondo posto Firefox, con il 20,8 per cento, seguono Safari di Apple (7 per cento) e Chrome di Google (0,83 per cento).

Quest'ultimo è la nuova spina nel fianco di Microsoft e certo ha solo iniziato a dargli preoccupazioni. Google infatti l'ha appena portato alla versione definitiva (togliendolo dalla beta): equivale a dare il via allo scontro diretto nella guerra dei browser. Senza più nascondersi dietro il paravento della parola "beta".

La prima vera replica arriverà nei primi mesi del 2009, quando è attesa l'uscita della versione definitiva di Internet Explorer 8. Nel frattempo è possibile che il browser di Microsoft perda altri utenti e questa nuova falla forse contribuirà al declino. Bisogna però evitare l'errore opposto di credere gli altri browser più sicuri in senso assoluto, rispetto a Internet Explorer 7 (mentre le precedenti versioni è meglio ormai smettere di usarle, senza dubbio). Di tanto in tanto compaiono falle di sicurezza anche per gli altri browser e di recente uno studio ha visto che sono Chrome e Safari i browser meno affidabili per sicurezza delle password.

Le falle che colpiscono Internet Explorer rischiano però di fare più danni, per almeno due motivi. Primo, perché è un browser usato dall'ampia maggioranza di utenti, spesso inesperti e quindi meno capaci di proteggere il proprio computer. Secondo, perché a differenza di alcuni dei suoi concorrenti principali non è open source e quindi non si può contare su una community di utenti esperti e sviluppatori che rimedi, con tempestività, alle falle scoperte. Bisogna per forza aspettare che sia Microsoft a pubblicare una patch.

(16 dicembre 2008)

[SiSteMa team]

Falla IE, arriva la patch
PI - Brevi

Roma - Microsoft ha fatto sapere che nella serata di oggi rilascerà una patch straordinaria per risolvere la vulnerabilità di sicurezza zero-day emersa in Internet Explorer la scorsa settimana, e già sfruttata dai criminali informatici.

La patch sarà pubblicata intorno alle 19,00 ora italiana, e non appena disponibile potrà essere scaricata dal Microsoft Download Center.

Feliciano Intini, chief security advisor di Microsoft Italia, spiega in questo post che il rilascio di questa patch fuori dal tradizionale ciclo mensile dei bollettini di Microsoft si è reso necessario per via della "diffusione che si sta osservando di siti web infettati tramite gli attacchi di SQL Injection di cui detto nel post precedente. "In questo modo, - continua Intini - anche siti che gli utenti ritengono affidabili potrebbero risultare veicolo di infezione".

http://punto-informatico.it/2508688/PI/ ... patch.aspx

[Fabio]

ho appena fatto un aggiornamento automatico.....

(visto ora)

forse si tratta di questo?

[Lello]

fatto.....

Aggiornamento della protezione per Internet Explorer 7 per Windows XP (KB960714)
Sono stati individuati problemi di protezione che potrebbero consentire a chi effettua un attacco di danneggiare un computer che esegue Microsoft Internet Explorer e di ottenere il controllo su di esso. Installando questo aggiornamento fornito da Microsoft sarà possibile proteggere il sistema. Al termine dell'installazione, potrebbe essere necessario riavviare il computer.
Modalità di disinstallazione
Questo aggiornamento software può essere disinstallato utilizzando l'opzione Installazione applicazioni nel Pannello di controllo.
Guida in linea e supporto tecnico
http://support.microsoft.com

[romari]

Anch'io lo scaricato ieri sera e istallato

C'erto che sto IE c'ha piu' buchi del Groviera, ogni tanto ne scoprono uno ...e il bello è che non sono quelli della microsoft a scoprirli, che pure lo hanno programmato.

[gasgrisu]

C'è l'ho.....

[munoz]

Ho scaricato Chrome. E' veramente veloce

[SiSteMa team]

http://punto-informatico.it/2509288/PI/ ... opera.aspx

Piovono patch anche per Firefox e Opera

Roma - Sembra proprio che il Natale abbia portato agli utenti di browser un sacco pieno di... patch. Oltre a quella per l'ormai famosa vulnerabilità di Internet Explorer, nelle ultime 48 ore sono stati rilasciati aggiornamenti di sicurezza anche per Firefox e Opera: questi update arrivano proprio a ridosso delle raccomandazioni di molti esperti ad utilizzare browser diversi da Internet Explorer 7.

Le nuove versioni di Firefox sono la 3.0.5 e la 2.0.0.19, le quali sistemano rispettivamente otto e nove falle di sicurezza, 3-4 delle quali classificate da Mozilla con il più elevato grado di rischio.

Due delle debolezze più serie relative a Firefox 3 possono consentire ad un aggressore di lanciare attacchi di tipo cross-site scripting (XSS), che generalmente permettono di eseguire codice JavaScript nel contesto di un differente sito web. Mozilla spiega che tale codice gira con gli stessi privilegi di Firefox.

Il terzo problema "critico" riguarda il motore di browsing di Firefox, ed è costituito da alcuni buffer overflow che potrebbero essere utilizzati per corrompere la memoria e causare il crash del browser. "Presumiamo che con un sufficiente impegno almeno alcuni di questi bug potrebbero essere sfruttati per eseguire arbitrariamente del codice a distanza", si legge nell'advisory di Mozilla.

Alcuni dei bug corretti da questi update interessano anche il client email Thunderbird, che condivide con Firefox lo stesso motore di browsing.

Mozilla ha ricordato come il 2.0.0.19 sia da considerarsi l'ultimo aggiornamento a Firefox 2, e che questo, come anticipato la scorsa settimana, elimina la funzione antiphishing inclusa nel browser. Ora più che mai, dunque, è raccomandato migrare a Firefox 3.

Per scaricare le versioni aggiornate di Firefox è possibile servirsi del sistema di auto aggiornamento integrato nel browser o procedere al download manuale da getfirefox.com o Mozilla Italia.

Le vulnerabilità stuccate dall'ultima versione di Opera, la 9.63, sono invece sette, alcune delle quali considerate da Opera Software di "estrema gravità". Due bug consistono in errori nel parsing dell'HTML e del testo, e potrebbero essere sfruttati per attacchi di code injection. Un simile rischio accompagna anche un terzo bug, questa volta relativo all'erronea gestione di nomi di host troppo lunghi.

Opera 9.63 risolve poi un problema XSS legato ai template XSLT ed un altro nella gestione delle anteprime dei feed RSS. Maggiori dettagli su queste vulnerabilità sono riportati in questa pagina del sito di Opera Software e in questo advisory di Secunia.
.

[munoz]

Dopo averlo usato per un po, posso dire che Chrome è veramente meglio di Explorer. Anche il nostro forum è velocissimo e non solo, apre subito le altre emoticon, che con explorer sono lente, e mi inserisce direttamente sul messaggio le emoticon selezionate che invece con explorer si posizionavano sopra le emoticons e dovevo fare il copia incolla

[SiSteMa team]

io dopo mille menate con IE sono passato a firefox e devo dire (dal basso della mie esperienza) che non è male,o perlomeno meglio di IE sicuramente.

[Lello]

io dopo mille menate con IE sono passato a firefox e devo dire (dal basso della mie esperienza) che non è male,o perlomeno meglio di IE sicuramente.

Anch'io mi trovo molto meglio rispetto a Internet Explorer

[gasgrisu]

io dopo mille menate con IE sono passato a firefox e devo dire (dal basso della mie esperienza) che non è male,o perlomeno meglio di IE sicuramente.

io è da quando è uscito firefox che lo uso, e mi ci trovo meglio,più intuitivo che IE

[Meckaloc]

Il file incriminato sembra che sia OLEDB32.DLL

[SiSteMa team]

La falla di IE sfruttata via Word

Roma - Verso la fine della scorsa settimana Microsoft ha stuccato la recente vulnerabilità zero-day di Internet Explorer, ma la questione - benché tecnicamente risolta - è tornata ad essere di scottante attualità. Il motivo è dato dalla diffusione su Internet di documenti Word capaci di dirottare l'utente verso siti che contengono exploit della falla.

David Marcus, dirigente degli Avert Labs di McAfee, ha spiegato in questo post che gli autori dei malware hanno ideato "meccanismi innovativi" per sfruttare la vulnerabilità di IE. Tra questi c'è l'inclusione, in un documento Word, di un controllo ActiveX capace di collegarsi ad un sito web contenente l'exploit del bug di IE. "Con questo approccio l'exploit viene scaricato ed eseguito nel sistema senza l'autorizzazione dell'utente, e senza dunque che quest'ultimo sia al corrente di quanto sta avvenendo".

Marcus afferma che i documenti maligni appaiono come un qualunque altro documento Word, ed oltre che sui siti Web possono essere diffusi dai cracker anche attraverso le email o le reti P2P. Sebbene il ricercatore non lo precisi, va detto che un personal firewall è generalmente in grado di proteggere gli utenti da questo genere di attacchi, perché impedisce a Word di comunicare con Internet (a meno che l'utente non dia la sua espressa autorizzazione).
L'exploit scaricato da file ".doc" maligni funziona esclusivamente con IE7, ed è soggetto agli stessi limiti già discussi in passato: in altre parole, in presenza di Windows Vista o Windows Server i rischi che il sistema venga compromesso sono assai inferiori rispetto a quelli che corrono gli utenti di Windows XP.

http://punto-informatico.it/2511980/PI/ ... -word.aspx

[Meckaloc]

La falla di IE sfruttata via Word

...............L'exploit scaricato da file ".doc" maligni funziona esclusivamente con IE7,

........dunque per chi ha IE 6 o inferiori non dovrebbero esserci problemi !!!!!!!!!!!!!!!!!!!!!!!!!