Firefox, update urgente in vista

La versione 3.07 soffre di una vulnerabilità zeroday che, secondo gli esperti, i cracker potrebbero sfruttare per prendere il controllo di un sistema remoto e installarvi trojan o backdoor. Update di sicurezza all'orizzonte anche per IE8

Roma – Su Internet è stato pubblicato un exploit dimostrativo che ha messo in evidenza una seria vulnerabilità di Firefox, potenzialmente sfruttabile per compromettere un computer e inocularvi malware.

Il codice dell’attacco proof-of-concept è stato scritto dal ricercatore di sicurezza Guido Landi, e fa leva su un bug relativo al parser di Firefox per l’eXtensible Stylesheet Language (XLS), il linguaggio di descrizione dei fogli di stile (CSS) per i documenti in formato XML.

Un aggressore potrebbe approfittare del bug semplicemente inducendo un utente ad aprire un file HTML: analizzando l’exploit di Landi si evince che tale file, una volta aperto, esegue un file XML che a sua volta richiama un file XSL maligno. Se l’attacco ha successo, Firefox va in crash e l’aggressore può eseguire del codice a propria scelta con gli stessi privilegi dell’utente del browser. Il rischio, secondo gli esperti di sicurezza, è che i virus writer sfruttino la vulnerabilità per diffondere malware.

L’exploit funziona per altro su tutte le piattaforme supportate da Firefox, incluse Windows, Linux e Mac OS X, ma il livello di pericolosità dipende dalla sicurezza intrinseca di ciascun sistema operativo.

Gli sviluppatori di Mozilla si sono già detti al lavoro su una patch che dovrebbe essere integrata nel prossimo aggiornamento a Firefox, il 3.0.8, il cui rilascio è atteso a giorni.

I guai relativi alla sicurezza affliggono anche il neonato Internet Explorer 8. Proprio in questi giorni Microsoft ha infatti confermato che la vulnerabilità di IE8 mostrata presso la recente conferenza hacker CanSecWest è presente anche nella versione finale del browser.

Sulla natura della falla si conosce ancora molto poco, ma stando a quanto riportato dal suo scopritore, un hacker che si fa chiamare Nils, anche questa può essere innescata aprendo un sito web o un file HTML ed è sfruttabile per eseguire codice con gli stessi privilegi dell’utente locale.

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • nome e cognome XD scrive:
    ma stai zitto
    no no la wii è sbagliato...e il sito nintendo dice IL NINTENDO WII....e non puoi dare torto a chi lo crea...sapranno come si chiama. ignorante
  • nome e cognome XD scrive:
    ma ce la fate?
    ma prima o poi imparerete a dire "IL WII" e non "la wii" (capre)e non dite che non è cosi....il sito nintendo parla chiaroIL NINTENDO WIIignoranti
    • IL WII scrive:
      Re: ma ce la fate?
      esatto!!si dice IL wii
    • rododentro scrive:
      Re: ma ce la fate?
      DUBITO CHE SUL SITO NINTENDO ABBIANO SCRITTO "NINTENDO WII"POICHE' IL TRADEMARK DELLA CONSOLE E' SOLO "WII"...INFATTI E' STATO PIU' VOLTE NOTATO CHE IL WII E' LA PRIMA CONSOLE DA CASA NINTENDO A NON AVERE LA PAROLA "NINTENDO" NEL NOMEINFATTI:NESSNESN64NGCMA SI SA QUEL SITO E' MOLTO POCO PROFESSIONALE...HANNO GIA' DATO PROVA...E CHI SI FIDA DI QUELLO CHE SCRIVONO SU QUEL SITO GIA' DIMOSTRA DI ESSERE UN NIUBBO SE LO CITA COME FONTE...CMQ VA BENE ANCHE "LA WII",POICHE' E' SOTTOINTESO LA (CONSOLE) WII.
  • pentolino scrive:
    Facciamo i giusti distinguo
    Questo system menu blocca il famoso Twilight Hack quindi una volta aggiornato non sarà possibile installare HBC e compagnia bella, almeno fino all' uscita di un nuovo hack.Curiosamente la nintendo ha bloccato uno dei modi principali per lanciare i backup (il famoso IOS16) ma non ha minimamente toccato le installazioni esistenti dell' HBC, che continuano a funzionare regolarmente, anche se io per il momento non mi fido ad aggiornare!E' un segnale? Vuol dire che la Nintendo tutto sommato tollera l' homebrew e combatte solo la pirateria? Io francamente lo spero.Poi si spera presto arriverà bootmii ed a quel punto l' homebrew dovrebbe essere salvo, vedremo :-)
    • ZERO TOLERANCE scrive:
      Re: Facciamo i giusti distinguo
      Ma chi ha un modchip può installare l'aggiornamento senza problemi?
      • pentolino scrive:
        Re: Facciamo i giusti distinguo
        boh non so, non credo però che il modchip c' entri in questo caso...
        • wiiman scrive:
          Re: Facciamo i giusti distinguo
          Il modchip non viene visto dal firmware wii.il modchip semplicemente manda in modalità debug i lettore.Quindi gli aggiornamenti (per ora) non influenzano il funzionamento dei modchip, ma solo degli applicativi homebrew.
          • pentolino scrive:
            Re: Facciamo i giusti distinguo
            infatti, come pensavo; il modchip non dovrebbe essere coinvolto
          • cespuglio scrive:
            Re: Facciamo i giusti distinguo
            blocca la possibilita di copiare wad quindi non si puo' piu' caricare giochi wiiware craccati.blocca in maniera definitica il tiwghlight hack,ma poco male per chi ha gia' installato l'homebrew channel,ma se per esempio copi il canale e vuoi ricaricarlo non ci riesci piu'(o altri canali non originali).in realta' ci sono gia' altri hack disponibili ,ma logicamente verrano resi pubblici al momento opportuno...purtroppo(per Nintendo...) per una scelta di design del firmware non c'e' aggiornamento firmware che possa bloccare tutti gli hack scovati.per il lato pirati invece le cose si fanno piu' difficili.inoltre Nintendo sta procedendo a bannare anche i cheaters che infestano i giochi online.se aggiungiamo l'opera anti r4 si puo' capire la strategia:pirati no,homebrew siil che e' positivo perche' finalmente l'azienda anche se tacitamente(avrebbe potuto bloccare il tiwghlight hack tanto tempo fa)si mostra "aperta" (o quanto meno tollerante anche se a parole devono mantenere un atteggiamento di chiusura)verso il mondo homebrew.
          • pentolino scrive:
            Re: Facciamo i giusti distinguo
            - Scritto da: cespuglio

            pirati no,homebrew si

            il che e' positivo perche' finalmente l'azienda
            anche se tacitamente(avrebbe potuto bloccare il
            tiwghlight hack tanto tempo fa)si mostra "aperta"
            (o quanto meno tollerante anche se a parole
            devono mantenere un atteggiamento di
            chiusura)verso il mondo
            homebrew.infatti anche io se fosse così vedrei il tutto come una buona notizia; in questo nintendo mi trova perfettamente d' accordo.
          • ZERO TOLERANCE scrive:
            Re: Facciamo i giusti distinguo
            quindi in definitiva se installo l'homebrew channel prima di fare l'aggiornamento, una volta fatto il canale non dovrebbe scomparire giusto?
          • pentolino scrive:
            Re: Facciamo i giusti distinguo
            stando a quanto dicono su wiibrew è così; io però al momento non ho alcun motivo per fare l' upgrade quindi me la prendo comoda, non si sa mai :-)
    • Mr. X scrive:
      Re: Facciamo i giusti distinguo
      - Scritto da: pentolino
      Questo system menu blocca il famoso Twilight Hack
      quindi una volta aggiornato non sarà possibile
      installare HBC e compagnia bella, almeno fino
      all' uscita di un nuovo
      hack.
      Curiosamente la nintendo ha bloccato uno dei modi
      principali per lanciare i backup (il famoso
      IOS16) ma non ha minimamente toccato le
      installazioni esistenti dell' HBC, che continuano
      a funzionare regolarmente, anche se io per il
      momento non mi fido ad
      aggiornare!
      E' un segnale? Vuol dire che la Nintendo tutto
      sommato tollera l' homebrew e combatte solo la
      pirateria? Io francamente lo
      spero.
      Poi si spera presto arriverà bootmii ed a quel
      punto l' homebrew dovrebbe essere salvo, vedremo
      :-)Se non sbaglio l'updater che aggiorna al system 4 ed elimina le patch per impedire il twilight hack già c'è
      • pentolino scrive:
        Re: Facciamo i giusti distinguo
        scusa non ho capito cosa intendi...
        • Luco, giudice di linea mancato scrive:
          Re: Facciamo i giusti distinguo
          - Scritto da: pentolino
          scusa non ho capito cosa intendi...Intende un aggiornamento modificato che lasci le feature e tolga le rogne. Era presente per l'update precedente, per questo non è presente o meglio non è ancora pubblico. Tra qualche giorno, fatti i necessari controlli di stabilità, probabilmente si troverà ai soliti posti.
          • pentolino scrive:
            Re: Facciamo i giusti distinguo
            ah ecco, non era chiarissimo l' op ;-)Se esce questo aggiornamento tanto meglio, potremo aggiornare serenamente :-)
    • il texano scrive:
      Re: Facciamo i giusti distinguo

      Curiosamente la nintendo ha bloccato uno dei modi
      principali per lanciare i backup (il famoso
      IOS16) Cioè cioè, spiega un po?
      • pentolino scrive:
        Re: Facciamo i giusti distinguo
        http://www.wiibrew.org/wiki/System_Menu_4.0http://hackmii.com/2009/03/system-menu-40-rundown/queste sono le mie fonti, altro non so
      • cespuglio scrive:
        Re: Facciamo i giusti distinguo
        ti vuoi craccare la wii???
        • pentolino scrive:
          Re: Facciamo i giusti distinguo
          beh dai non è mica una cosa difficile "aprire" un po' il wii - a meno che non abbia installato il System Menu 4.0, si intende :-)
          • -HCK- scrive:
            Re: Facciamo i giusti distinguo
            Se dobbiamo fare i giusti distinguo, facciamoli GIUSTI in primo luogo:1.Il Twilight hack è MORTO e NON CI SONO BUG IN RISERVA per quanto concerne i giochi.2.Il workaround per l' installazione dell' homebrew channel è stato BLOCCATO. ESISTE UN BUG IN RISERVA per questo inconveniente.3.BootMii non serve a un tubo se non si dispone di una falla come quella del twilight hack per eseguire un codice in primo luogo. Inoltre, BootMii NON PUÒ SOPRAVVIVERE AD UN ATTACCO MIRATO da parte di Nintendo.4.IOS16 ha una storia lunga...in sostanza questo IOS non doveva neanche essere rilasciato pubblicamente. Un leak del suddetto microkernel ha permesso l' utilizzo di una backdoor per installare canali piratati anche su sistemi protetti (usando una falla nota come Trucha Bug, dapprima comune a tutti gli IOS). Nintendo ha incluso una versione patchata di IOS16 VANIFICANDO LA BACKDOOR.5.Il caricamento da SD è una schifezza, in quanto prima dell' esecuzione, i canali vengono caricati nella NAND e successivamente rimossi CAUSANDO UN DETERIORAMENTO PRECOCE della memoria...una grande sola.6.I backup sono stati resi possibili dal modulo cIOS, installabile tramite un exploit del Trucha Bug, non da IOS16.7.La "patch" consiste in un' installer simile a PatchMii che va eseguito PRIMA DI INSTALLARE L' AGGIORNAMENTO. Qualcuno ha comunque DANNEGGIATO IL FIRMWARE utilizzando questa applicazione.Spero abbiate le idee un p' ò più chiare.
          • pentolino scrive:
            Re: Facciamo i giusti distinguo
            beh mettendo insieme 4 e 6 penso che dire che l' utilizzo dei backup è stato legato alla questione dell' IOS16 non sia sbagliato.IOS16 bacato -
            trucha bug -
            CIOS -
            backup...
          • -HCK- scrive:
            Re: Facciamo i giusti distinguo
            No affatto ;)cIOS è stato infatti una conseguenza diretta di IOS16 da 3.4-----------------------------------------------------------Modificato dall' autore il 30 marzo 2009 16.58-----------------------------------------------------------
  • Luco, giudice di linea mancato scrive:
    (OT) errore
    Fino ad oggi per lanciare i giochi Wii Ware o quelli per Virtual Console era necessario scaricarli o copiarli sulla memoria flash interna da mezzo megabyte Gigabyte :)
    • Alessandro Del Rosso scrive:
      Re: (OT) errore
      Corretto, grazie! ;-)- Scritto da: Luco, giudice di linea mancato
      Fino ad oggi per lanciare i giochi Wii Ware o
      quelli per Virtual Console era necessario
      scaricarli o copiarli sulla memoria flash interna
      da mezzo
      megabyte

      Gigabyte :)
Chiudi i commenti