Security Advisory 953818 correlato al problema "carpet bomb" di Safari


Comincio a pensare che i miei colleghi del MSRC in Corp (… noi usiamo dire così per riferirci alla Microsoft di Redmond, che è appunto la CORPoration) utilizzino l’Office Communicator (il nostro instant messenger interno) come rilevatore di presenza per decidere quando pubblicare i security advisory… 🙁

Vabbè… fatto sta che proprio all’inizio di questo weekend lungo per l’Italia, Microsoft ha emesso il "Microsoft Security Advisory (953818) – Blended Threat from Combined Attack Using Apple’s Safari on the Windows Platform" per segnalare che esiste una possibile minaccia di attacco per gli utenti di Windows (in particolare di tutte le versioni supportate di Windows XP e Windows Vista) che usano il browser Safari di Apple per la navigazione Internet.

Come riporta l’advisory, l’attacco è reso possibile dalla combinazione di due problemi (da qui il nome di "Blended Threat"), la modalità con cui Safari gestisce il download di contenuti sul file system e quella con cui Windows gestisce i file eseguibili sul Desktop: questa situazione congiunta permetterebbe di scaricare file sul Desktop di Windows ed eseguirli all’insaputa dell’utente nel suo contesto di sicurezza (quindi con i suoi privilegi – che le best practice raccomandano essere sempre i più limitati possibile…) 

Vi faccio notare che ho scritto "problemi" e non "vulnerabilità" non a caso: il problema di Safari a cui fa riferimento questo advisory è quello denominato "Carpet Bombing" che è al centro di una piccola bufera, e che merita qualche riflessione di merito: Apple continua ad avere un approccio miope ed anacronistico sugli aspetti di Sicurezza

Diversamente dall’approccio di Apple che potete leggere al post appena citato, Microsoft ha riconosciuto la necessità di approfondire la problematica dal suo lato (per accertare eventuali vulnerabilità su Windows e determinarne l’impatto) e di avvisare subito gli utenti del possibile rischio (e del possibile workaround) di questo attacco combinato: da qui la pubblicazione di questo advisory. 

Aggiornamento del 2/07/2008: Apple ha aggiornato Safari alla versione 3.1.2 e documentato i relativi aspetti di sicurezza in questo suo security advisory.


Share this post :

Comments (6)

  1. Franco says:

    Apple ha sistemato, anche Windows e’ ok con le patch per questa vulnerabilita’?

  2. Ciao Franco, la fase di indagine sulla problematica di gestione degli eseguibili sul desktop da parte di Windows è ancora in corso: se risulterà essere una vulnerabilità, seguirà il naturale percorso che porta alla pubblicazione di un bollettino, altrimenti diventerà una hotfix inclusa nel prossimo aggiornamento pubblico o Service Pack.

  3. Anonymous says:

    E’ indubbio che l’arrivo di Google Chrome segnerà il vero e proprio scoppio della "1a Guerra

  4. Anonymous says:

    Riprendendo il filo da dove l’avevo interrotto (scappando in ferie 😉 mi restava da condividere l’ultimo

  5. Anonymous says:

    [English version below: " Microsoft Security Bulletin Risk Analysis – April 2009 " ] Come già