Guninski svela nuovi bachi in IE e Office

Roma – L’ormai popolare cacciatore di bachi Georgi Guninski torna all’attacco e, attraverso un nuovo advisory , denuncia una nuova falla di sicurezza che coinvolge Internet Explorer e Office. L’esperto sostiene che “se un utente di IE visita una pagina Web costruita in un certo modo, la pagina potrebbe creare quasi ogni tipo di file sul suo computer” e consentire ad un aggressore di eseguire un programma a sua scelta sul sistema dell’utente.

A quanto pare il problema descritto da Guninski è direttamente collegato ad una vulnerabilità scoperta diversi mesi fa dallo stesso esperto di sicurezza in un componente di Office chiamato Office Web Components (OWC). Secondo il bug hunter bulgaro, una delle funzioni offerte da questo componente contiene un baco che può essere sfruttato attraverso IE ed Excel per creare file sul computer della vittima.

Sebbene Microsoft nel recente passato abbia rilasciato una patch relativa alla suddetta vulnerabilità, Guninski sostiene che in realtà il problema sarebbe stato risolto solo parzialmente. Egli afferma infatti che è ancora possibile creare un file con estensione “.xls” o “.xla” capace a sua volta di scrivere file sul disco per mezzo del componente OWC. Il file in questione, precisa Guninski, potrebbe anche essere un file HTML con estensione “.xla”.

Un altro problema, questa volta legato ad una vulnerabilità descritta da Guninski in un advisory che risale addirittura al 2000, riguarda la possibilità di passare a IE il comando <object data=”file.xla”></object> che, sebbene non visibile, fa eseguire a Excel il file “.xla”: questo potrebbe essere fatto in modo da sfruttare la vulnerabilità citata in precedenza e, per mezzo del componente OWC, salvare il file sul disco dell’utente.

“Così lo strano schema di ActiveX – scrive Guninski – è come questo: IE -> Excel -> OWC -> Excel -> SaveAs()”.

In attesa che Microsoft analizzi ed eventualmente risolva questi nuovi problemi, Guninski suggerisce di disabilitare i controlli ActiveX dalle impostazioni avanzate di IE o di disinstallare il componente OWC attraverso il setup di Office.