Google scova falle in Windows XP

Una vulnerabilità potenzialmente grave è stata scoperta da un ricercatore di BigG nelle funzioni di Help del vecchio OS di Microsoft. Pubblicato anche un exploit e un fix non ufficiale. Irritazione a Redmond

Roma – Un ricercatore di sicurezza che lavora per Google ha identificato una vulnerabilità potenzialmente grave nel componente Windows Help and Support Center (Guida in linea e supporto tecnico, helpctr.exe ) di Windows XP e Windows Server 2003. Più nel dettaglio, il problema è legato ad un bug di tipo cross-site scripting nella gestione degli URI (Universal Resource Identifier) hcp:// : questa debolezza potrebbe essere sfruttata da un malintenzionato per aggirare i controlli di sicurezza di helpctr.exe e, per mezzo di un link maligno, eseguire uno script o un programma con gli stessi privilegi dell’utente.

Microsoft ha confermato l’esistenza della falla nell’advisory 2219475 , dove precisa di non essere a conoscenza di attacchi in atto. Ma potrebbe essere solo questione di tempo: Tavis Ormandy, lo scopritore della falla, ha infatti divulgato tutti i dettagli del bug, compreso il codice di un exploit dimostrativo. Il ricercatore britannico ha corredato il proprio advisory di un fix temporaneo, ma come spiegato da Microsoft, e come poi ammesso dallo stesso Ormandy, questo workaround manca di risolvere il problema all’origine: di conseguenza può essere facilmente bypassato.

In attesa che venga rilasciata una patch ufficiale, Microsoft suggerisce ai propri utenti di applicare il workaround descritto nel suo advisory e in questo post : il suo scopo è quello di disattivare il protocol handler hcp:// così che i link di questo tipo non vengano più gestiti dal sistema. Così facendo, avverte BigM, si compromette però la funzionalità dell’Help di Windows.

Microsoft ha spiegato che l’exploit proof-of-concept scritto da Ormandy funziona esclusivamente con Windows XP, mentre è inefficace con Windows Server 2003: al momento l’azienda sostiene di non essere ancora riuscita a trovare un modo per sfruttare con successo la falla sotto questo sistema operativo.

Microsoft ha criticato Ormandy per averle segnalato il problema con soli cinque giorni di anticipo rispetto alla sua divulgazione pubblica. Il gigante di Redmond ha poi aggiunto che il fix non ufficiale rilasciato dal ricercatore di Google può fornire agli utenti un falso senso di sicurezza, aggravando la situazione. “(…) Lascio a voi commentare come si possa giudicare l’operato di Google al riguardo” ha chiosato Feliciano Intini, responsabile dei programmi di sicurezza e privacy di Microsoft Italia, in questo post .

Per altri approfondimenti sulla vulnerabilità si rimanda ai post pubblicati da Microsoft sui blog MSRC e SR&D , e a questo post di Secunia.

Alessandro Del Rosso

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Certo certo scrive:
    Thinkare differente, eh?
    Adesso ci ritroviamo con Steve Jobs che "thinka" come il Bill Gates del passato e il Bill Gates del presente che "thinka" come lo Steve Jobs del passato. Ma cosa è sucXXXXX? Certo certo, adesso qualche macaco verrà a dirmi che è il capitalismo, la dura legge della jungla, quasi come se il suo amato Steve fosse costretto ad adottare tali comportamenti. Invece questo dimostra che volevate - solo - mettervi - al - posto - di - Microsoft .
    • struppolo scrive:
      Re: Thinkare differente, eh?
      no no Stefano Giobbe è stato il primo a sognare di dominare il mondo con una tastiera e un mouse Bill gli ha solo copiato l'idea negli anni '80
    • ruppolo scrive:
      Re: Thinkare differente, eh?
      - Scritto da: Certo certo
      Adesso ci ritroviamo con Steve Jobs che "thinka"
      come il Bill Gates del passato e il Bill Gates
      del presente che "thinka" come lo Steve Jobs del
      passato. Ma cosa è sucXXXXX? Certo certo, adesso
      qualche macaco verrà a dirmi che è il
      capitalismo, la dura legge della jungla, quasi
      come se il suo amato Steve fosse costretto ad
      adottare tali comportamenti. Invece questo
      dimostra che volevate - solo - mettervi -
      al - posto - di -
      Microsoft . Infatti è quello il nostro posto. E senza ricatti e corruzioni, ma per MERITO.
      • lordream scrive:
        Re: Thinkare differente, eh?
        - Scritto da: ruppolo
        - Scritto da: Certo certo

        Adesso ci ritroviamo con Steve Jobs che "thinka"

        come il Bill Gates del passato e il Bill Gates

        del presente che "thinka" come lo Steve Jobs del

        passato. Ma cosa è sucXXXXX? Certo certo, adesso

        qualche macaco verrà a dirmi che è il

        capitalismo, la dura legge della jungla, quasi

        come se il suo amato Steve fosse costretto ad

        adottare tali comportamenti. Invece questo

        dimostra che volevate - solo - mettervi -

        al - posto - di -

        Microsoft .

        Infatti è quello il nostro posto. E senza ricatti
        e corruzioni, ma per
        MERITO.rotlf bwahahahahahahahaha
      • W Apple scrive:
        Re: Thinkare differente, eh?

        Infatti è quello il nostro posto. E senza ricatti
        e corruzioni, ma per
        MERITO.NOSTRO?????Ruppolo tu sei un consulentello che installa stampanti.Non sei un dirigente Apple.Scusa la brutalità, ma prima o poi qualcuno doveva dirtelo!!!!
      • Vega scrive:
        Re: Thinkare differente, eh?
        oddio che cagata pazzesca.....
      • rover scrive:
        Re: Thinkare differente, eh?
        Delirio totale....
  • MeX scrive:
    beh...
    Google ha avuto via libera ad acquisire AdMob proprio perché Apple si é inserita nel mercato, poi non ha tagliato fuori adMob, gli sviluppatori possono usare AdMob, ma non possono inviare statistiche dei prodotti Apple a Google...E qualsiasi altra azienda pubblicitaria indipendente puó raccogliere informazioni e statistiche...
    • DarkOne scrive:
      Re: beh...
      - Scritto da: MeX
      Google ha avuto via libera ad acquisire AdMob
      proprio perché Apple si é inserita nel mercato,
      poi non ha tagliato fuori adMob, gli sviluppatori
      possono usare AdMob, ma non possono inviare
      statistiche dei prodotti Apple a
      Google...

      E qualsiasi altra azienda pubblicitaria
      indipendente puó raccogliere informazioni e
      statistiche...Diciamo che apple, come al solito, si guarda bene il proprio orticello e non vuole che nessun lupo ci entri.Il fatto può essere anche legittimo, ma è un comportamento MOLTO ipocrita per chi predica sull'open e standard criticando adobe.
      • Mario scrive:
        Re: beh...
        - Scritto da: DarkOne
        Diciamo che apple, come al solito, si guarda bene
        il proprio orticello e non vuole che nessun lupo
        ci
        entri.Diciamo che non è vero dato che chiunque a parte pochi non ci possono entrare.Perché non fai lo sforzo di andare oltre al titolo prima di precipitarti qui a scriverci favolette alle quali solo tu credi?
        Il fatto può essere anche legittimo, ma è un
        comportamento MOLTO ipocrita per chi predica
        sull'open e standard criticando
        adobe.Opinabile come visione della situazione. Che derivi da quanto indicato qui sopra?
        • pepigno75 scrive:
          Re: beh...
          L' arrorganza di Steve mi fa stare quasi male, non gradisce la concorrenza... si sentiva già padrone del mondo mobile ma per fortuna che ci ha pensato google, Android sta crescendo e il nuovo Iphone non introduce nulla di nuovo se non sull' hardware.Hanno paura e cosi non vogliono la concorrenza...
          • MeX scrive:
            Re: beh...
            e invece google che ha giá buona parte delle ads online e acquisisce pure la piú grande compagnia di pubblicitá mobile (admob) é santa? mah...
          • Mario scrive:
            Re: beh...
            Appunto. E si arrampica pure per trovarne una giustificazione.
          • ullala scrive:
            Re: beh...
            - Scritto da: MeX
            e invece google che ha giá buona parte delle ads
            online e acquisisce pure la piú grande compagnia
            di pubblicitá mobile (admob) é santa?
            mah...Ma quali santi?Ci sono 2 aziende che hanno la stessa mission (profitto) tale mission si può esercitare stando a certe regole (in USA) ci sarà indagine e ci sarà un risultato! esattamente come è stato per MS e Google quando è toccato a loro fine della storia!MS non stava alle regole e ha "pagato dazio".Dove sarebbe il problema?Chi deve controllare controlla e se (notare il se) le regole non sono rispettate indica correzzioni e sanzioni!Forse invece di giudicare chi è santo o no (cioè nessuno) è meglio far fare il proprio lavoro a chi lo deve fare?
          • MeX scrive:
            Re: beh...
            ma infatti, sono il primo ad essere contento che ci sia una terza parte che vigila... ma qui a sentire i commenti Google passa per vittima indifesa, e non mi sembra un'analisi corretta, tutto qui.
          • Mario scrive:
            Re: beh...
            Certo infatti stranamente qui è google che non vuole perdere la sua fetta predominante (già a rischio di antitrust).Abilissimi a decontestualizzare le situazioni.
          • Mario scrive:
            Re: beh...
            Certo infatti stranamente qui è Apple che non vuole perdere la sua fetta predominante (già a rischio di antitrust).Abilissimi a decontestualizzare le situazioni
          • Mario scrive:
            Re: beh...
            Ti cloni ma non convinci. Anche perché dovresti sapere che è google che la fa da pardone nel settore, ma sei ignorante e quindi non ti resta che clonarti e giocare.
          • lordream scrive:
            Re: beh...
            - Scritto da: Mario
            Certo infatti stranamente qui è google che non
            vuole perdere la sua fetta predominante (già a
            rischio di
            antitrust).
            Abilissimi a decontestualizzare le situazioni.- Scritto da: Mario
            sì sì, anche io sono così, anche io rispetto
            tutti e solo quelli che parlano bene di apple,
            gli altri che vadano a fare i barboni con i loro
            mattoncini nokia da 4
            soldi!
        • lordream scrive:
          Re: beh...
          - Scritto da: Mario
          sì sì, anche io sono così, anche io rispetto
          tutti e solo quelli che parlano bene di apple,
          gli altri che vadano a fare i barboni con i loro
          mattoncini nokia da 4
          soldi!
      • MeX scrive:
        Re: beh...
        cosa centra l'open e lo standard con il mandare dettagliate statistiche sui tuoi prodotti a Google?
        • Mario scrive:
          Re: beh...
          Nulla di nulla, ma tutto fa brodo per autoreferenziarsi.
          • MacUser scrive:
            Re: beh...
            continua così che anche questo mese ti sei guadagnato lo stipendio.
          • Mario scrive:
            Re: beh...
            Se vuoi ti compro un neurone almeno per un po sarai occupato.
          • BiMario scrive:
            Re: beh...
            senti chi parla di autoreferenzarsi(rotfl)(rotfl)(rotfl)
          • Mario scrive:
            Re: beh...
            Mi è semblato di vedele un clonetto.
          • BiMario scrive:
            Re: beh...
            io invece vedo un Appletalebano, saluti a te Osama Bin Mario.certo che un non registrato che dice clonetto ad un altro non registrato è ridicolo, chi ci dice che non lo sei anche tu?E poi parla di autoreferenziati, forse il neurone è meglio che lo tieni tu, almeno la testa ti serve a qualcosa invece che ora la usi solo per separare le orecchie.
        • DarkOne scrive:
          Re: beh...
          - Scritto da: MeX
          cosa centra l'open e lo standard con il mandare
          dettagliate statistiche sui tuoi prodotti a
          Google?Che se dichiari di voler andare verso un mondo standard e aperto, opponendoti al male supremo adobe che è closed e proprietario...poi dovresti evitare XXXXXXX del genere in cui ti rinchiudi nel tuo orticello buttando fuori la concorrenza.Questo atteggiamento è del tutto opposto al millantato volere di un mondo aperto e standard.
          • MeX scrive:
            Re: beh...
            e invece google sarebbe paladina del bene e della libertá che punta al predominio assoluto della pubblicitá online e su cellulari?AdSense é "Open source" ? Google ha creato uno standard open source per la distribuzione della pubblicitá?Ti sembra che Apple se ne sarebbe stata tranquilla a passare tonnellate di informazioni ad un suo concorrente che si é insinuato nei suoi prodotti come un trojan acquisendo AdMob?
          • gabriele scrive:
            Re: beh...
            - Scritto da: MeX
            e invece google sarebbe paladina del bene e della
            libertá che punta al predominio assoluto della
            pubblicitá online e su
            cellulari?
            AdSense é "Open source" ? Google ha creato uno
            standard open source per la distribuzione della
            pubblicitá?

            Ti sembra che Apple se ne sarebbe stata
            tranquilla a passare tonnellate di informazioni
            ad un suo concorrente che si é insinuato nei suoi
            prodotti come un trojan acquisendo
            AdMob?Può fare benissimo la stessa cosa apple aggiungendo iAd su android, se queste informazioni captabili dalle compagnie pubblicitarie sono cosi importanti al fine di capire dettagli top secret, ma è chiaro che è solo una facciata da dare in pasto all'opinione pubblica, fossero cosi importanti stai certo che apple avrebbe tenuto fuori TUTTI, non solo google, perchè le informazioni possono essere rivendibili benissimo da parte di piccole aziende pubblicitarie a produttori come google e microsoft.
          • MeX scrive:
            Re: beh...
            guarda che non é che il contenuto delle statistiche in se é importante... ma l'insieme dei dati raccolti puó avvantagiare google nell'elaborare profili di utenza, diffusione dell'iPhone per area geografica etc etc... insomma indagini di mercato...
          • DarkOne scrive:
            Re: beh...
            - Scritto da: MeX
            e invece google sarebbe paladina del bene e della
            libertá che punta al predominio assoluto della
            pubblicitá online e su
            cellulari?No, ma non mi pare che AdSense sia la stessa cosa di iAd.
          • MeX scrive:
            Re: beh...
            no infatti hanno comprato adMob per controllare la pubblicitá su piattaforma mobile.
      • Mario scrive:
        Re: beh...
        - Scritto da: DarkOne
        Diciamo che apple, come al solito, si guarda bene
        il proprio orticello e non vuole che nessun lupo
        ci
        entri.Diciamo che è vero dato che non vuole la concorrenza.Perché non fai lo sforzo di andare oltre al titolo prima di precipitarti qui apple è molto peggio
        Il fatto può essere anche legittimo, ma è un
        comportamento MOLTO ipocrita per chi predica
        sull'open e standard criticando
        adobe.hai perfettamente ragione
    • collione scrive:
      Re: beh...
      mah, ho i miei dubbi che la cosa sia così semplicela FTC si è già mossa e questo implica che c'è quantomeno il sospetto che sia una mossa per tagliar fuori i competitorcome fai a creare pubblicità mirata senza avere in mano delle statistiche? Steve crede di fare il furbo ma il mondo non è più quello che ha permesso a Bill di scorazzare impunito per decenni
      • MeX scrive:
        Re: beh...
        beh diciamo che la "certezza" della cosa é da vedere "A rivelarlo un articolo apparso tra le pagine online del Financial Times, che ha a sua volta riportato le indiscrezioni fatte trapelare da alcune fonti interne rimaste anonime. "anche fosse mi sembra giustissimo che si indaghi, io mica sono un giudice o un avvocato o un garante... ho detto solo la mia opinione... e ricordavo che pure Google fu indagata proprio per l'acquisizione di adMob... quindi che Google non giochi a fare la verginella ;)
        • lordream scrive:
          Re: beh...
          - Scritto da: MeX
          beh diciamo che la "certezza" della cosa é da
          vedere "A rivelarlo un articolo apparso tra le
          pagine online del Financial Times, che ha a sua
          volta riportato le indiscrezioni fatte
          trapelare da alcune fonti interne rimaste
          anonime. "

          anche fosse mi sembra giustissimo che si indaghi,
          io mica sono un giudice o un avvocato o un
          garante... ho detto solo la mia opinione... e
          ricordavo che pure Google fu indagata proprio per
          l'acquisizione di adMob... quindi che Google non
          giochi a fare la verginella
          ;)altro che verginella.. ma sai da chi è stata "salvata" google a quel proXXXXX?.. e per quale motivo?
Chiudi i commenti