Cassandra Crossing/ Caccia alle streghe

di Marco Calamari - Dove sono i terroristi catturati in rete? Dove sono le orde di pedofili pronti a qualsiasi violenza? Cercarli in rete è talmente comodo che pur di trovarceli si possono anche inventare

Roma – Il generale Agosto avanza a grandi passi e comincia ad occupare, come naturale, le prospettive mentali della maggior parte degli Italici; i pensieri sulla difesa dei diritti civili e della Rete appartengono purtroppo all’esercito dei pensieri messi in rotta dalla sua avanzata. Oddio, non proprio tutti sono preda di sindrome vacanziera; la classe politica è ancora al lavoro, ma l’attenzione e quasi tutto l’impegno dei due Poli sono assorbiti dal futuro Partito Democratico, dai cambi di equilibrio che comporterà, e dall’utilizzo di qualunque avvenimento per i progetti di ribaltone.

In questo panorama, quotidiani e telegiornali devono comunque essere riempiti di notizie, quindi riferiscono anche camei di cronaca “nera” che, letti non superficialmente, sono notizie inquietanti sull’escalation della censura e della limitazione dei diritti civili in Rete. La stampa ha riportato nei dettagli l’uso dell’infrastruttura “cinese” di controllo della Rete italiana contro un sito estero, che a detta di chi l’ha consultato, pur non contenendo immagini pedopornografiche, faceva “apologia” della pedofilia.

È recente la storia del sequestro del blog di Piero Ricca per aver avuto una lunga querelle con Emilio Fede, ed aver diffuso uno spezzone di filmato a lui sgradito. Di questi tempi sembra normale che invece di una denuncia per diffamazione, si tuteli l’onorabilità del più fuoriondato giornalista italiano censurando d’autorità la libera espressione di un cittadino.

È altrettanto recente la notizia che alcune persone, pare ragazzi, siano state accusate di aver pubblicato su un sito documenti Internet che contenevano informazioni sulla costruzione di bombe. Questa notizia non ha avuto la risonanza della precedente, ma è a mio parere ancora più preoccupante.

Dal punto di vista delle libertà in Rete, le tre notizie sembrano forse meno importanti rispetto alla ormai consolidata censura tecnologica dei siti di gioco online sgraditi alle finanze dello Stato Italiano, censura che è divenuta attività rituale e megalomane di chi vuole controllare, o fare il possibile per controllare, la Rete. L’unico obbiettivo propagandato è, come sempre, la tutela del nostro bene; forse il vostro, non il mio. Infatti come altri abitanti della Rete non ritengo di aver bisogno di questo tipo di tutela, anzi la aborrisco. Ma proseguiamo; non amo nemmeno essere preso per i fondelli.

La giustificazione filosofica usata contro i ragazzi che hanno caricato i documenti su come si costruiscono le bombe sul loro sito (peraltro reperibili facilmente tramite Google) è gravissima, ed è la stessa usata contro i videogiochi “violenti”; si devono limitare i diritti dei cittadini normali per difenderli da quello che potrebbero fare elementi mentalmente instabili od aspiranti terroristi se avessero le stesse libertà.

La censura non scatta pero’ solo nei confronti dei “ragazzacci”.
Non puo’ esistere una censura “limitata”, come non esiste una ragazza “limitatamente incinta”; se si censura anche solo un pensiero sgradito ad una società allora esiste la censura, e se questa censura sembra ragionevole alla maggioranza, si tratta perdipiù di una censura “trionfante”.

Una frase attribuita a Voltaire (ma non sua ) l’aveva ben enunciato: “Non sono d’accordo con quello che dici, ma darei la vita perché tu possa continuare a dirlo”. In nessun altro campo imbavagliare le persone normali per tutelare malati e violenti, senza oltretutto nessuna prova dell’efficacia dei metodi usati, sarebbe giudicato accettabile. Purtroppo contro i nuovi presunti mostri che popolano la Rete c’è la sospensione della ragionevolezza , e si fa accettare, e si accetta, tutto.

Ma dove stanno i pedofili violenti, i terroristi che fanno saltare in aria la gente; stanno in Rete? Quanti ne sono stati trovati in Rete? E quanti invece popolano le strade che ogni giorno percorriamo, dove possono essere catturati, ahimé troppo di rado? La mancata cattura di terroristi e pedofili veri dovrebbe portare logicamente ad un maggiore impiego di uomini, mezzi ed intelligence. Andreottianamente pensando, il rimedio finisce per essere quello di cercare criminali in Rete, perché sono più facilmente accessibili, anche a costo di inventarli e di scrivere nuove leggi che sostengano questa moderna crociata, che diano vita persino a reati virtuali , in pieno stile kafkiano.

Nulla di nuovo, nulla di originale, è la versione moderna della caccia alle streghe . Le streghe erano innocenti, forse malate mentali, forse in preda ad allucinogeni, forse semplicemente persone sgradite al potere, allora come oggi assai intollerante contro i diversi ed i critici. Ora è sentimento diffuso che siano state capri espiatori, vittime innocenti della Storia.

In altri tempi e paesi è toccato agli ebrei, poi agli anticomunisti, poi ai comunisti, poi…. Essere le moderne streghe da distruggere è il rischio che gli abitanti della Rete corrono, è il modo con cui molta gente “normale”, molti sottosviluppati informatici, molti politici, la maggioranza dei lettori di giornali e dei telespettatori, la maggioranza della popolazione ci vedono.

Trasformare alla prima occasione favorevole una maggioranza di gente tranquilla e “normale” in folla scatenata con torce e forconi è riuscito tante volte nella storia. Non facciamo finta di niente. Non sottostimiamo il rischio. Non sentiamoci tranquilli. Basta trovarsi nel posto sbagliato al momento sbagliato.

Non facciamoci fregare.

Marco Calamari

Tutte le release di Cassandra Crossing sono disponibili a questo indirizzo

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • colabrodoFF scrive:
    Mozilla al tappeto!
    "This can be exploited to execute arbitrary commands when a user e.g. using Firefox visits a malicious website with a specially crafted "mailto" URI containing a "%" character and ends in a certain extension (e.g. ".bat", ".cmd")"
    • Giorgio Maone scrive:
      Re: Mozilla al tappeto!
      Il buon senso al tappeto...http://punto-informatico.it/b.aspx?i=2047670&m=2048372#p2048372-- There's a browser safer than Firefox... http://noscript.net
      • Massimo Pini scrive:
        Re: Mozilla al tappeto!
        Uso e da anni ogni genere di software open source senza craccare alcunchè, acquistando quel poco che non esiste ancora open, ma cercando di trovare le soluzioni open migliori per ogni singola applicazione (anche e soprattutto per un fatto di etica e di onestà personale).Naturalmente ho trovato falle, buchi, ecc. dappertutto, semplicemente perchè è impensabile che si riesca a prevedere tutte le situazioni di vulnerabilità di un sistema e che, soprattutto si riesca a simularle tutte.Quindi non trovo scandaloso il fatto che ci possa essere un bug in firefox, IE, windows o in qualsiasi altro SW.Sicuramente sarebbe auspicabile non ce ne fossero, ma tant'è. Per fortuna ci sono i guru che queste cose le scoprono e le distruggono in poco tempo, come Giorgio...
    • Cris scrive:
      Re: Mozilla al tappeto!
      1 - il primo problema è Windows, dato che la vulnerabilità sembra essere nella validazione delle URI da parte del sistema operativo. Gli utenti Firefox+Linux possono stare tranquilli, la falla non esiste per loro...2 - Se conoscessi l'inglese: "... e.g. using Firefox ..." non significa che succede SOLO quando usi Firefox, ma quando PER ESEMPIO usi Firefox (cit. "Other versions and browsers may also be affected"). Resta il fatto che la vulnerabilità risiede nelle API di Windows: da quanto ho capito Firefox e gli altri browser possono aggirare il problema modificando l'URI con dei caratteri di escape prima di chiamare le API Windows (probabilmente la ShellExecute()), in modo che Windows non "caschi" nella trappola.A mio parere è una forzatura (maliziosa...) interpretare questo problema come un bug di Firefox...
    • Cocco Drillo scrive:
      Re: Mozilla al tappeto!
      - Scritto da: colabrodoFFperline collanine tappeti vu' cumpra'?
  • Albex scrive:
    Che diff tra firefox e uno scolapasta ?
    NESSUNA ! entrambi sono pieni di buchi.
    • krane scrive:
      Re: Che diff tra firefox e uno scolapasta ?
      - Scritto da: Albex
      NESSUNA ! entrambi sono pieni di buchi.Secondo me se appoggi la pentola della pasta su una confezione di windows diventa uno scolapasta anche la pentola...
  • lalla63 scrive:
    la RC2 della versione 2.0.0.6 è pachata?
    si direbbe che il rilascio è imminenteIeri sera è stata rilasciata la localizzazione dellanuova versione in release candidate 2 nel nightly.http://ftp.mozilla.org/pub/mozilla.org/firefox/nightly/2.0.0.6-candidates/rc2/unsigned/
    • anonimo scrive:
      Re: la RC2 della versione 2.0.0.6 è pachata?
      - Scritto da: lalla63
      si direbbe che il rilascio è imminente
      Ieri sera è stata rilasciata la localizzazione
      della
      nuova versione in release candidate 2 nel nightly.

      http://ftp.mozilla.org/pub/mozilla.org/firefox/nigSI' LO SARA'http://mozlinks-it.blogspot.com/2007/07/mozilla-ammette-il-problema-delluri.html
  • Lamù scrive:
    chiarezza e parole semplici please
    parlo da 'gnurant del genere di problemi e voglio cercare di fare un po' chiarezza, chiedo aiuto a qualche luminare che possa confermare o meno:scrivo come fossero tesi cercando di rimanere sull'intuitivo e cerco anche eventuali correzzioniURI: è il "pezzo" *di Windows* che si occupa di gestire l'apertura di nuovi indirizzi associandoli ad un certo programma. questo è un pezzo di WIndows utilizzato dai vari broswerL'URI puo' essere passato da un programma ad un altro, ovvero IE/FF possono chiedersi a vicenda di aprire un certo indirizzomi pare che il problema sia la forma in cui viene passato l'indirizzo, nessuno dei due programmi controlla la forma di tale indirizzo nè tantomeno lo fà windows permettendo quindi l'apertura di un programma malizioso.questa mi è laparte più oscura, se si tratta di un mero indirizzo, pur se associato ad un programma con cui gestirlo, anche se a quell'indirizzo ci fosse un malware dovrebbe poi essere tutto gestito come viene gestita normalmente l'apertura di una nuova pagina.in parole semplici l'URI è cme se cliccasse su un certo collegamento ma senza bisogno di intervento da parte del'utente. giusto?succede anche che se l'indirizzo che viene passato da un programma ad un altro non sia un indirizzo ma una riga di codice scritta ad hoc questa viene eseguita, giusto???? (di questo non sono certo)
  • anonimo01 scrive:
    funzia SOLO se c'è IE7 installato...
    questo fantomatico bug funziona SOLO se c'è IE7 installato!!! http://secunia.com/advisories/26201è scritto sui siti in inglese ( ieri , ma qst è un altro discorso)è scritto sui siti in tedescoè scritto sui siti in franceseè scritto sui siti in spagnoloè scritto sui siti in russoè scritto sui siti in giapponeseè scritto in alcuni siti Italiani.ma non qui, su PI ("punto informatico", c..o!).i dettagli! i dettagli si pretendono! ...e ora chi li sente i m$addict?bah...
    • sicuro? scrive:
      Re: funzia SOLO se c'è IE7 installato...
      sicuro?"This can be exploited to execute arbitrary commands when a user e.g. using Firefox visits a malicious website with a specially crafted "mailto" URI containing a "%" character and ends in a certain extension (e.g. ".bat", ".cmd")"
      • Giorgio Maone scrive:
        Re: funzia SOLO se c'è IE7 installato...
        - Scritto da: sicuro?
        sicuro?
        "This can be exploited to execute arbitrary
        commands when a user e.g. using Firefox visits a
        malicious website with a specially crafted
        "mailto" URI containing a "%" character and ends
        in a certain extension (e.g. ".bat",
        ".cmd")" e.g. == per esempio.Quindi "ad esempio usando Firefox", ma non necessariamente.In effetti, come osservato da Daniel Veditz, l'attacco funziona perfettamente se incolli l'URL vulnerabile in Start|Avvia , sia che Firefox sia installato che no, purche IE7 lo sia: apparentemente, infatti, si tratta di una mancata validazione da parte dell'API ShellExecute() di Windows.-- There's a browser safer than Firefox... http://noscript.net
        • ilovecrazy scrive:
          Re: funzia SOLO se c'è IE7 installato...
          - Scritto da: Giorgio Maone
          e.g. == per esempio.
          Quindi "ad esempio usando Firefox", ma non
          necessariamente.Il che significa *ANCHE* con FFMentre il tizio a cui rispondeva la persona che contraddici, vanverava di un problema *ESCLUSIVO* di IE. *ESCLUSIVO* di IE e *ANCHE* di FF si contraddicono quanto una pubblicità della Bilboa senza la tipa che mostra le tette.
  • clic scrive:
    sul mio pc non funziona
    Ho provato il codice sul mio pc xp spaie7firefox2.0.0.5 e mi apre un tab vuotodi questi ha funzionato in parte solo la richiesta di lancio di telnet che pero non è partito.telnet:// rundll32.exe url.dll,TelnetProtocolHandler %lnews:// %ProgramFiles%Outlook Expressmsimn.exe /newsurl:%1nntp:// %ProgramFiles%Outlook Expressmsimn.exe /newsurl:%1snews:// %ProgramFiles%Outlook Expressmsimn.exe /newsurl:%1mailto:// C:lotusnotesnotes.exe /defini %1Ho creato una pagina html con i collegamenti sopra riportati, disattivato NoScript e Kasper ma proprio non succede nulla.boh?!?!Lo stesso dicasi per il test di vulnerabilità sulle password, anche se debbo dire che ho disabilitato il gestore delle password di FF.
  • daniele_dll scrive:
    Per i soliti che intendono denigrare...
    Se per caso non ve ne foste accorti, cosi come molti di voi hanno fatto per il, leggendario, bug riportato l'altro da PI, il problema non riguarda direttamente Firefox bensì è una cosa che succede perché Microsoft non gestisce correttamente gli URI malformati con il risultato che firefox, cosi come riceve l'uri, lo passa al gestore indicato in base al prefisso nel registro di sistema tramite le apposite funzioni di windows.E' vero che è una cosa a cui firefox deve badare, non sto dicendo di no, però è anche vero che se microsoft risolvesse quel bug allora non ci sarebbe la falla per il browser ... quindi dico ... di chi è la colpa? :)[nota: il bug delle password non è un "bug" è il normale funzionamento del password manager di firefox ERGO si può leggere tramite javascript solo la password che firefox scrive nel campo e non QUALSIASI password come si capiva dall'articolo]
    • Massimo Fidanza scrive:
      Re: Per i soliti che intendono denigrare...
      Daniele, che ci vuoi fare questi di PI riportano le notizie per metà e i soliti anti Open Source non aspettano altro per cogliere l'occasione, ma si sa i giornalisti (o presunti tali) ultimamente fanno più disinformazione che informazione.
    • bt scrive:
      Re: Per i soliti che intendono denigrare...
      - Scritto da: daniele_dll
      E' vero che è una cosa a cui firefox deve badare,
      non sto dicendo di no, però è anche vero che se
      microsoft risolvesse quel bug allora non ci
      sarebbe la falla per il browser ... quindi dico
      ... di chi è la colpa?Secondo Secunia [1], di Microsoft Internet Explorer 7... In ogni caso non vedo perché un software dovrebbe correggere un bug del sistema operativo...
      _
      [1]: http://punto-informatico.it/b.aspx?i=2047670&m=2047911#p2047911
      • bitor scrive:
        Re: Per i soliti che intendono denigrare...

        In ogni caso non vedo perché un
        software dovrebbe correggere un bug del sistema
        operativo...

        _
        del sistema operativo? ma che state a dì?L'URI handler incriminato è questo:[HKEY_CLASSES_ROOTFirefoxURLshellopencommand@]FIREFOX.EXE -url "%1" -requestPendingsecondo voi IE dovrebbe mettersi a controllare che "%1" sia un comando losco? A me sembra che sia compito di FF.Se invece secondo voi il check dovrebbe farlo il chiamante (IE) allora sappiate che FF con gli URI handler si comporta esattamente allo stesso modo: http://msinfluentials.com/blogs/jesper/archive/2007/07/20/hey-mozilla-quotes-are-not-legal-in-a-url.aspxdivertente no?
        • anonimo01 scrive:
          Re: Per i soliti che intendono denigrare...
          funziona solo se hai ie7 installato.ergo, (ancora una volta si conferma che) ie7 è un rottame e un serio problema per la sicurezza.divertente, no?
        • Giorgio Maone scrive:
          Re: Per i soliti che intendono denigrare...
          - Scritto da: bitor
          Se invece secondo voi il check dovrebbe farlo il
          chiamante (IE) allora sappiate che FF con gli URI
          handler si comporta esattamente allo stesso modoSi comport ava , a causa di una svista: https://bugzilla.mozilla.org/show_bug.cgi?id=389106La differenza è che Mozilla ha ammesso l'errore e lo ha corretto, mentre Microsoft continua a sostenere che il problema non esiste.-- There's a browser safer than Firefox... http://noscript.net
        • lorenzodes scrive:
          Re: Per i soliti che intendono denigrare...
          - Scritto da: bitor

          del sistema operativo? ma che state a dì?
          L'URI handler incriminato è questo:
          [HKEY_CLASSES_ROOTFirefoxURLshellopencommand@
          FIREFOX.EXE -url "%1" -requestPendingEsatto. Ed è un metodo lecito in base alla stessa knowledge base di Microsoft.
          secondo voi IE dovrebbe mettersi a controllare
          che "%1" sia un comando losco? A me sembra che
          sia compito di
          FF."%1" non è un comando, ma un placeholder che serve a far capire all'API ShellExecute di Windows che al suo posto ci va la linea di comando elaborata dal programma chiamante. Internet Explorer non vede neppure quel "%1" di cui tu parli. Quello che vede, invece, è il famoso URL e dovrebbe sapere, prima di passarlo al sistema operativo, che alcuni caratteri in un url non ci possono essere o, almeno, non in formato "unescaped".
      • sicuro? scrive:
        Re: Per i soliti che intendono denigrare...
        - Scritto da: bt
        Secondo Secunia [1], di Microsoft Internet
        Explorer 7... sicuro?"This can be exploited to execute arbitrary commands when a user e.g. using Firefox visits a malicious website with a specially crafted "mailto" URI containing a "%" character and ends in a certain extension (e.g. ".bat", ".cmd")"
        • Giorgio Maone scrive:
          Re: Per i soliti che intendono denigrare...
          Sicuro.http://punto-informatico.it/b.aspx?i=2047670&m=2048372#p2048372-- There's a browser safer than Firefox... http://noscript.net
  • bt scrive:
    State parlando di questa vulnerabilità?
    http://secunia.com/advisories/26201/Guardate che secunia dice che la vulnerabilità colpisce Microsoft Windows con Internet Explorer 7, NON Mozilla Firefox...TITLE:Microsoft Windows URI Handling Command Execution VulnerabilitySECUNIA ADVISORY ID:SA26201VERIFY ADVISORY:http://secunia.com/advisories/26201/CRITICAL:Highly criticalIMPACT:System accessWHERE:From remoteOPERATING SYSTEM:Microsoft Windows XP ProfessionalMicrosoft Windows XP Home EditionMicrosoft Windows Server 2003 Datacenter EditionMicrosoft Windows Server 2003 Enterprise EditionMicrosoft Windows Server 2003 Standard EditionMicrosoft Windows Server 2003 Web EditionSOFTWARE:Microsoft Internet Explorer 7.xDESCRIPTION:A vulnerability has been discovered in Microsoft Windows, which can be exploited by malicious people to compromise a vulnerable system.The vulnerability is caused due to an input validation error within the handling of system default URIs with registered URI handlers (e.g. "mailto", "news", "nntp", "snews", "telnet"). This can be exploited to execute arbitrary commands when a user e.g. using Firefox visits a malicious website with a specially crafted "mailto" URI containing a "%" character and ends in a certain extension (e.g. ".bat", ".cmd")Examples:mailto:test%../../../../windows/system32/calc.exe".cmdnntp:../../../../../Windows/system32/telnet.exe" "secunia.com80%.batSuccessful exploitation requires that Internet Explorer 7 is installed on the system. The vulnerability is confirmed on a fully patched Windows XP SP2 and Windows Server 2003 SP2 system using Firefox version 2.0.0.5 and Netscape Navigator version 9.0b2. Other versions and browsers mayalso be affected.SOLUTION:Do not browse untrusted websites or follow untrusted links.-----------------------------------------------------------Modificato dall' autore il 27 luglio 2007 09.24-----------------------------------------------------------
    • bitor scrive:
      Re: State parlando di questa vulnerabilità?
      la stessa vulnerabilità che ha FFBasta leggere l'articolo linkato da PI e l'intervista alla responsabile sicurezza di FF:"We thought this was just a problem with IE. It turns out, it is a problem with Firefox as well. We should have caught this scenario."
      • anonimo01 scrive:
        Re: State parlando di questa vulnerabilità?
        effetto" la prossima volta ti faremo una versione animata con i teletubbies delle advisory di sicurezza.
        Basta leggere l'articolo linkato da PI e
        l'intervista alla responsabile sicurezza di
        FF:

        "We thought this was [b]just a problem with IE.[/b] It
        turns out, it is a problem with Firefox as well.
        We should have caught this
        scenario."e te lo citi da solo! :o no guarda, qui c'hai gravi problemi con la comprensione del testo!
        • marco scrive:
          Re: State parlando di questa vulnerabilità?


          "We thought this was [b]just a problem with
          IE.[/b]
          It

          turns out, it is a problem with Firefox as well.

          We should have caught this

          scenario."

          e te lo citi da solo! :o no guarda, qui c'hai
          gravi problemi con la comprensione del
          testo!L'inglese questo sconosciuto.....Il problema è tuo: "Pensavamo che fosse solo un problema con IE. E' saltato fuori che è un problema anche di Firefox.Avremmo dovuto prevedere questa cosa"
          • anonimo01 scrive:
            Re: State parlando di questa vulnerabilità?
            - Scritto da: marco


            "We thought this was [b]just a problem with

            IE.[/b]

            It


            turns out, it is a problem with Firefox as
            well.


            We should have caught this


            scenario."



            e te lo citi da solo! :o no guarda, qui c'hai

            gravi problemi con la comprensione del

            testo!

            L'inglese questo sconosciuto.....
            Il problema è tuo:
            "Pensavamo che fosse solo un problema con IE.
            E' saltato fuori che è un problema anche di
            Firefox.
            Avremmo dovuto prevedere questa cosa"tant'è vero che FF da solo ne è immune.che dici, ci rimettiamo a studiare il fatto che l'inglese è multi-interpretabile?bai bai
    • sicuro? scrive:
      Re: State parlando di questa vulnerabilità?
      - Scritto da: bt
      NON Mozilla
      Firefox...sicuro?"This can be exploited to execute arbitrary commands when a user e.g. using Firefox visits a malicious website with a specially crafted "mailto" URI containing a "%" character and ends in a certain extension (e.g. ".bat", ".cmd")"
      • Giorgio Maone scrive:
        Re: State parlando di questa vulnerabilità?
        Sicuro.http://punto-informatico.it/b.aspx?i=2047670&m=2048372#p2048372--There's a browser safer than Firefox... http://noscript.net
  • lalla63 scrive:
    la falla è lato windows, però ..........
    http://secunia.com/advisories/26201/Strano, si direbbe che qualcuno vuol dimostrare che usare firefox sia pericoloso, meglio usare explorer 7 che è più sicuro.Chissà chi può avere interesse a spingere una simile idea ???C'è già l'exploit.Ci fate andare che stavolta esce il virus devastante, a dimostrare al mondo intero che usare firefox è pericoloso.E per firefox sarebbe la fine.In campana.-----------------------------------------------------------Modificato dall' autore il 27 luglio 2007 09.05-----------------------------------------------------------
    • bt scrive:
      Re: la falla è lato windows, però ..........
      Modificato dall' autore il 27 luglio 2007 09.05
      --------------------------------------------------Attento, quell'advisory usa Firefox per fare *un esempio*...Il titolo infatti è "Microsoft Windows URI Handling Command Execution Vulnerability", e il software colpito è "Microsoft Internet Explorer 7.x"...
      • lalla63 scrive:
        Re: la falla è lato windows, però ..........

        Attento, quell'advisory usa Firefox per fare *un
        esempio*...

        Il titolo infatti è "Microsoft Windows URI
        Handling Command Execution Vulnerability", e il
        software colpito è "Microsoft Internet Explorer
        7.x"...Vero, però "stranamente" serve per testa di ponte a colpire Firefox (non Opera) e Netscape.A me sta vulnerabilità puzza, oltretutto proprio solo explorer7, e non il 6.Si direbbe che quando han sviluppato explorer7 hanno inserito sta feature ad orologeria.Pensate sull'opinione pubblica come sarebbe devastante se al telegiornale uscisse la notizia di un virus distruttivo che parte da firefox (anche se non è vero, ma i giornalisti).Oltretutto il periodo è proprio l'ideale, c'è il rilassamento delle ferie e la guardia si abbassa.Sarò paranoico e malpensante ........ ma dietro c'è M.
        • bt scrive:
          Re: la falla è lato windows, però ..........
          - Scritto da: lalla63
          Vero, però "stranamente" serve per testa di ponte
          a colpire

          Firefox (non Opera) e Netscape.

          [cut]

          abbassa.
          Sarò paranoico e malpensante ........ ma dietro
          c'è
          M.Calma... Guarda che nell'advisory c'è scritto "e.g.", il che vuol dire "per esempio", ergo è solo un esempio quello, potrebbe essere usato qualsiasi browser (fino a che non specificheranno diversamente).http://en.wikipedia.org/wiki/E.g._vs._i.e.
          • bitor scrive:
            Re: la falla è lato windows, però ..........
            FF gestisce gli URI esattamente come IE7...http://msinfluentials.com/blogs/jesper/archive/2007/07/20/hey-mozilla-quotes-are-not-legal-in-a-url.aspx- Scritto da: bt
            - Scritto da: lalla63

            Vero, però "stranamente" serve per testa di
            ponte

            a colpire



            Firefox (non Opera) e Netscape.



            [cut]



            abbassa.

            Sarò paranoico e malpensante ........ ma dietro

            c'è

            M.

            Calma... Guarda che nell'advisory c'è scritto
            "e.g.", il che vuol dire "per esempio", ergo è
            solo un esempio quello, potrebbe essere usato
            qualsiasi browser (fino a che non specificheranno
            diversamente).

            http://en.wikipedia.org/wiki/E.g._vs._i.e.
          • Giorgio Maone scrive:
            Re: la falla è lato windows, però ..........
            Gest iva , la patch (e il work-around temporaneo di NoScript) sono entrambi vecchi di 3 giorni:https://bugzilla.mozilla.org/show_bug.cgi?id=389106http://noscript.net/changelog#1.1.6.06-- There's a browser safer than Firefox... http://noscript.net
          • colabrodoFF scrive:
            Re: la falla è lato windows, però ..........
            - Scritto da: Giorgio Maone
            e il work-around
            temporaneo di NoScript)noscript non serve a nulla.
          • Giorgio Maone scrive:
            Re: la falla è lato windows, però ..........
            - Scritto da: colabrodoFF
            - Scritto da: Giorgio Maone

            e il work-around

            temporaneo di NoScript)

            noscript non serve a nulla.Sapresti spiegarmi il perché?Sarei molto interessato in che cosa sia io che gli stessi scopritori della vulnerabilità (Billy Rios e Nate Mc Feters) abbiamo sbagliato... -- There's a browser safer than Firefox... http://noscript.net
          • AtariLover scrive:
            Re: la falla è lato windows, però ..........
            - Scritto da: Giorgio Maone
            - Scritto da: colabrodoFF

            - Scritto da: Giorgio Maone


            e il work-around


            temporaneo di NoScript)



            noscript non serve a nulla.

            Sapresti spiegarmi il perché?
            Sarei molto interessato in che cosa sia io che
            gli stessi scopritori della vulnerabilità (Billy
            Rios e Nate Mc Feters) abbiamo sbagliato...
            Giorgio lascialo stare, non sa nemmeno con chi sta parlando.Noscript è una delle migliori estensioni di Firefox, permette di essere immuni a moltissimi "trucchetti" che vengono usati dai siti per fregarti e ancora meglio, permette di essere già al riparo OGGI da alcune vulnerabilità che potrebbero essere scoperte un domani.E adesso sono ancora più convinto che questa estensione merita di essere sostenuta... A buon intenditor, paypal risponde ;)Ce ne fossero di estensioni così...
  • Plo scrive:
    Che colabrodo 'sto Firefox
    Ogni giorno ne ha una.
    • bt scrive:
      Re: Che colabrodo 'sto Firefox
      - Scritto da: Plo
      Ogni giorno ne ha una.http://punto-informatico.it/b.aspx?i=2047670&m=2047911#p2047911
  • paolo ott scrive:
    Ke vuol dire falla zero-day???
    Scusate l'ignoranza e che già lo avevo visto in qualche articolo ma non so cosa vuol dire Grazie per le risposte :)
    • Alphonse Elric scrive:
      Re: Ke vuol dire falla zero-day???
      - Scritto da: paolo ott
      Scusate l'ignoranza e che già lo avevo visto in
      qualche articolo ma non so cosa vuol dire Grazie
      per le risposte
      :)Significa "senza patch disponibile", oppure "senza che nessuno conoscesse il problema precedentemente".
    • bt scrive:
      Re: Ke vuol dire falla zero-day???
      - Scritto da: paolo ott
      Scusate l'ignoranza e che già lo avevo visto in
      qualche articolo ma non so cosa vuol dire Grazie
      per le risposte
      :)Se vogliamo essere "enciclopedici": http://en.wikipedia.org/wiki/Zero_day:D
  • VAC scrive:
    Non mi è chiaro...
    Il difetto si verifica solo su Windows?
    • erpirata scrive:
      Re: Non mi è chiaro...
      - Scritto da: VAC
      Il difetto si verifica solo su Windows?Bha infatti me lo domando anche io.
      • DanyATK scrive:
        Re: Non mi è chiaro...
        No, non si verifica solo su windows.
        • Pane@rita scrive:
          Re: Non mi è chiaro...
          - Scritto da: DanyATK
          No, non si verifica solo su windows.su quali altri os si verifica?
          • Giorgio Maone scrive:
            Re: Non mi è chiaro...
            - Scritto da: Pane@rita
            - Scritto da: DanyATK

            No, non si verifica solo su windows.

            su quali altri os si verifica?Per quello che ne sappiamo, Mac OS X non è vulnerabile, perchè non utilizza la riga di comando per passare l'URI: https://bugzilla.mozilla.org/show_bug.cgi?id=389106#c41Neppure Linux, perché valida i parametri in maniera più robusta di Windows: https://bugzilla.mozilla.org/show_bug.cgi?id=389106#c61OS/2, forse (nessuno si è preso la briga di verificare, tanto la patch è già stata rilasciata). There's a browser safer than Firefox... http://noscript.net
          • colabrodoFF scrive:
            Re: Non mi è chiaro...
            - Scritto da: Giorgio Maone
            Neppure Linux, perché valida i parametri in
            maniera più robustanon valida i parametri in maniera robusta, semplicemente linux ha poche features = più sicuro, ma con meno usabilità
          • Giorgio Maone scrive:
            Re: Non mi è chiaro...
            - Scritto da: colabrodoFF
            - Scritto da: Giorgio Maone

            Neppure Linux, perché valida i parametri in

            maniera più robusta

            non valida i parametri in maniera robusta,
            semplicemente linux ha poche features = più
            sicuro, ma con meno
            usabilitàUh, chissà perché hai dimenticato di citare la fonte della mia affermazione, ovvero il commento di Georgi Guninski (suppongo che tu lo conosca, visto che sei un esperto di sicurezza) sul perché, secondo lui, non si riesce a riprodurre l'attacco su Linux:https://bugzilla.mozilla.org/show_bug.cgi?id=389106#c61Come puoi leggere, non si tratta di una feature che manca (l'interfaccia a riga di comando), ma di una che Linux implementa correttamente mentre Windows abbozza con poco o nessun riguardo per la sicurezza.-- There's a browser safer than Firefox... http://noscript.net
          • RNiK scrive:
            Re: Non mi è chiaro...
            Giorgio, ma perdi anche tempo a rispondere?Do not feed the troll!
    • bt scrive:
      Re: Non mi è chiaro...
      - Scritto da: VAC
      Il difetto si verifica solo su Windows?Sì, come dice Secunia [1] è una falla di Microsoft Internet Explorer 7, che si verifica quindi esclusivamente sui sistemi Microsoft Windows dove è presente questa versione di IE.Ps: Non lo dico io, lo dice Secunia...[1]: http://secunia.com/advisories/26201
      • bitor scrive:
        Re: Non mi è chiaro...
        FF fa la stessa cosa.Leggi l'articolo linkato da PI che da notizie successiva a secunia.Leggi cosa dice il Mozilla's security chief:While disclosing details on the first URL handler bug on Tuesday, Snyder admitted that she was wrong. "We thought this was just a problem with IE. It turns out, it is a problem with Firefox as well," she said. "We should have caught this scenario."- Scritto da: bt
        - Scritto da: VAC

        Il difetto si verifica solo su Windows?

        Sì, come dice Secunia [1] è una falla di
        Microsoft Internet Explorer 7, che si verifica
        quindi esclusivamente sui sistemi Microsoft
        Windows dove è presente questa versione di
        IE.

        Ps: Non lo dico io, lo dice Secunia...


        [1]: http://secunia.com/advisories/26201
        • Giorgio Maone scrive:
          Re: Non mi è chiaro...
          - Scritto da: bitor
          FF fa la stessa cosa. Faceva , il bug è chiuso e risolto da 3 giorni.
          Leggi l'articolo linkato da PI che da notizie
          successiva a secunia.Leggi il bug report:https://bugzilla.mozilla.org/show_bug.cgi?id=389106
          Leggi cosa dice il Mozilla's security chief:Hai estrapolato da un blog post Window Snyper ( la security chief ) che diceva più o meno "abbiamo sbagliato, stiamo provvedendo":http://blog.mozilla.com/security/2007/07/23/related-security-issue-in-url-protocol-handling-on-windows/Era lunedì scorso, l'indomani il bug era già risolto.In compenso Microsoft da due settimane nega non già di avere il bug, ma che si tratti di un bug: ergo, non lo risolverà, almeno non nel prossimo futuro. -- There's a browser safer than Firefox... http://noscript.net
Chiudi i commenti