PI cura un bug di sicurezza

Lo ha segnalato alla redazione un giovane bug hunter e divulgatore informatico che ha scoperto una vulnerabilità CSS di rischio moderato


Roma – Punto Informatico è dovuto correre ai ripari nella giornata di ieri dopoché Salvatore Aranzulla , bug hunter 15enne e da tempo divulgatore informatico anche attraverso una propria newsletter sulla sicurezza, ha segnalato al quotidiano informatico la sussistenza di un bug nel codice del nuovo sito adottato da PI nei giorni scorsi.

Aranzulla, già scopritore di alcune falle in sistemi gestiti da Google e Yahoo!, ha spiegato che “nella vostra nuova versione di PI è presente un pericoloso bug XSS (o CSS), ovvero di inserimento codice HTML nelle vostre pagine, da parte di un attaccante esterno”.

Come già accaduto in altri casi del tutto simili, il bug avrebbe consentito la falsificazione dei cookie e quindi delle credenziali di un utente registrato. Nel caso di Punto Informatico, tuttavia, sarebbe potuto accadere dell’altro: un cracker avrebbe potuto inserire uno script all’interno della URL con effetti potenzialmente dannosi per gli utenti.

“La risoluzione del problema è molto semplice – ha scritto Aranzulla – basta filtrare la variabile “r”, con la quale si identifica quale sezione del sito si sta visitando, in questo modo: r = Server.HtmlEncode(Request(“r”))”. E, in effetti, bastava questo.

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Laura principess a scrive:
    HELP
    Scusate ma come si fa quindi a personalizzare la home di google??? grazie
  • Anonimo scrive:
    Ma chi l'ha scritto sto articolo?
    Quoto dall'articolo:"L'operazione voluta da Google sembra comunque ai più ancora ben lontana dall'essere annunciata ufficialmente."Ma chi scrive queste assurdità?Pandemia ha trovato le slide che sarebbero state mostrate da lì a qualche minuto. Quindi il nuovo servizio della homepage personalizzabile sarebbe stato presentato durante il Factory Tour, come ovviamente è avvenuto.Per favore, fate scrivere gli articoli sui motori di ricerca a qualcuno veramente informato su questo tema. Non è che ci voglia poi tutta sta gran scienza per leggere i blog stranieri e capire cosa dicono...
  • Anonimo scrive:
    Googlemania
    In pratica Google adesso propone quel che ha fatto passare di moda Altavista.Contenuti in pagina che non siano il semplice motore di ricerca.Lo fa Altavista e rischia il collasso.Lo fa Google e non si parla d'altro.
    • naevus scrive:
      Re: Googlemania
      ma in questo caso posso decidere io se vedere il vecchio google o quello nuovo...
    • Anonimo scrive:
      Re: Googlemania
      - Scritto da: Anonimo
      Lo fa Altavista e rischia il collasso.
      Lo fa Google e non si parla d'altro.Come mi piacciono 'sti post scritti attingendo a piene mani dall'ignoranza più becera. ;-)Altavista aveva trasformato la propria homepage in qualcosa che non era più un motore di ricerca, bensì un portale.Google non ha trasformato un bel nulla, la home page è sempre la stessa.Quello presentato è un servizio 1) aggiuntivo 2) opzionale 3) in fase preliminare e 4) attivabile solo dietro esplicita richiesta dell'utente, che deve accedere ad un URL ben preciso.A questo si aggiunge che si tratta di una cosa COMPLETAMENTE diversa nei contenuti e nelle finalità rispetto a quello che fece Altavista in passato, riempiendo la homepage di schifezze e pubblicità a tutto spiano.Complimenti per il paragone intelligente. :-D
  • Anonimo scrive:
    www.google.com/ig
    E' questo il link temporaneo dove trovare il nuovo servizio
  • Anonimo scrive:
    wow che articolone
    3 righe per dirmi la stessa cosa del titolo più volte.Comunque io già tempo fa avevo personalizzato google news, ma poi sono tornato indietro, io preferisco leggere così come capita, non amo queste personalizzazioni che rendono la mia vita meno avventurosa......sapete io amo il rischio e l'avventura.
    • naevus scrive:
      Re: wow che articolone
      ma questa è cosa ben diversa dalla personalizzazione di google news... (che anche a me non piace): io ho deciso di visualizzare 3 news di google news, wired e slashdot+ 3 gmail+ 3 frasi del giornoil tutto è leggero e credo diventerà la mia home page (attualmente è google suggest + google my search history)
      • Anonimo scrive:
        Re: wow che articolone
        - Scritto da: naevus
        ma questa è cosa ben diversa dalla
        personalizzazione di google news... (che anche a
        me non piace): io ho deciso di visualizzare 3
        news di google news, wired e slashdot+ 3 gmail+ 3
        frasi del giorno

        il tutto è leggero e credo diventerà la mia home
        page (attualmente è google suggest + google my
        search history)si lo so, ma era per dire che queste personalizzazioni non mi piacciono in generale. Ho visto la pagina di google personalizzabile e sinceramente non mi fa un bell'effetto. Mi sembra di tornare piano piano ai vecchi tempi in cui erano di moda i 'portaloni'.Tanto io uso Firefox+Sage oppure Bloglines.com che trovo molto più comodi.Con bloglines, per chi non lo sapesse, fai un account sul sito e puoi sottoscrivere tutti i feed che vuoi. Ad esempio se scegli punto-informatico ti dice gli altri utenti con lo stesso feed cos'altro hanno sottoscritto.E non solo quando leggi le notizie hai la possibilità di spostarle nel tuo blog gratuito e di aggiungere tue note personali.E' comodo perché essendo un sito e non un programma per leggere i feed puoi usarlo dovunque ti trovi.
    • Anonimo scrive:
      Re: wow che articolone
      immagino che avventure!seduto sulla sedia sfogliando googlebrrrrrivido!!!
      • Anonimo scrive:
        Re: wow che articolone
        - Scritto da: Anonimo
        immagino che avventure!
        seduto sulla sedia sfogliando google
        brrrrrivido!!![Spiegazione per chi non ci è arrivato]era una frase ironica[Fine della spiegazione per chi non ci è arrivato](Se anche tu hai un amico che non riesce a capire le cose: aiutalo! Non rimanere indifferente. Ricordati che quel tonto potevi essere tu!)Pubblicità Progresso
  • MaurizioB scrive:
    Già attivo...
    Seguendo l'aggiornamento del post di Luca su Pandemia ( http://www.pandemia.info/archives/2005/05/google_personal.html ) scopriamo che il servizio è ora già attivo anche se, ovviamente, in via sperimentale. La personalizzazione funziona al meglio ovviamente se si possiede un account su google (gmail, googlevideo e via dicendo), tra l'altro si possono tranquillamente trascinare gli oggetti in modo da definire il layout a proprio piacimento. Ottimo lavoro, come al solito.Saluti
Chiudi i commenti