Dieci falle per l'SP2

San Jose (USA) – All’interno di Windows XP Service Pack 2 (SP2) si celano dieci vulnerabilità di sicurezza che “possono consentire ad un aggressore di prendere il controllo di un PC da remoto e senza che l’utente se ne accorga”. Ad affermare che si tratta di problemi gravi è Finjan Software , piccola società californiana che sviluppa software per la sicurezza. Ma, come si vedrà, non è così che la pensa Microsoft.

In un comunicato pubblicato sul proprio sito, Finjan sostiene che gli utenti dell’SP2 corrono rischi “semplicemente visitando una pagina Web”.

La società afferma di aver già fornito a Microsoft i dettagli di tutte le vulnerabilità scoperte, dettagli che intende rendere pubblici solo dopo che i problemi saranno stati corretti dal big di Redmond. Nonostante questo, andando contro quelle che sono le policy di non-disclosure promosse da Microsoft, Finjan ha già delineato i connotati di alcune delle vulnerabilità da lei scoperte.

La società afferma che “i cracker possono accedere ai file memorizzati sulla macchina dell’utente” aggirando, per mezzo di una pagina Web malevola, le zone di sicurezza previste dall’SP2. Un aggressore potrebbe poi “passare da una zona di sicurezza all’altra per ottenere i privilegi della zona locale”, consentendogli così di lanciare da remoto script malevoli. Infine, Finjan spiega che “i cracker possono aggirare il meccanismo di notifica dei download dell’SP2 ed eseguire dei file EXE scaricati sul sistema in modo silenzioso”.

Shlomo Touboul, CEO e fondatore di Finjan, sostiene che nonostante l’SP2 includa un certo numero di funzionalità di sicurezza, questo aggiornamento si basa ancora sul sistema operativo e sul kernel originali e, pertanto, finirebbe per soffrire delle stesse pecche. “Oltre a ciò, le applicazioni Windows – ha detto Touboul – girano tipicamente con i permessi di amministrazione e hanno pieno e illimitato accesso alle risorse del sistema”.

Alcuni portavoce di Microsoft hanno dichiarato che, da una prima analisi, le vulnerabilità scoperte da Finjan non sembrano così gravi come riportato da quest’ultima. Se Microsoft può avere interesse a minimizzare certi problemi, anche Finjan ha tutto l’interesse ad amplificarli nel tentativo di farsi più pubblicità possibile in un settore molto competitivo. I bug comunque esistono: per conoscerne il reale pericolo sarà dunque necessario attendere la divulgazione dei dettagli tecnici e le prime analisi indipendenti.