www.MegaLab.it

Durante la tarda serata di lunedì, Microsoft ha rilasciato il Security Advisory numero 972890, titolato "Vulnerability in Microsoft Video ActiveX Control Could Allow Remote Code Execution".

Il comunicato mette in guardia gli utenti che utilizzassero Internet Explorer su Windows XP o Windows Server 2003 circa una grave debolezza riscontrata in uno dei controlli ActiveX utilizzabili del browser.

La falla, localizzata nel componente Microsoft Video ActiveX Control, potrebbe consentire ad un utente ostile di predisporre una semplice pagina web che, una volta visualizzata con una versione non debitamente protetta del navigatore Microsoft, sarebbe in grado di eseguire codice sul calcolatore della propria vittima.

Questo si traduce nella possibilità di installare virus, programmi di controllo remoto o altro malware assortito in modo pressoché invisibile all'utente.

Il pericolo è assolutamente concreto: Internet Storm Center segnala già una cinquantina di siti malevoli che utilizzano un exploit funzionante per compromettere i sistemi dei visitatori.

Come proteggersi

In attesa di una patch che, con un po' di fortuna, potrebbe arrivare già in occasione del ciclo di aggiornamento mensile di luglio (previsto per matedì prossimo), sono disponibili alcuni rimedi temporanei.

Microsoft suggerisce di impostare gli opportuni "kill bit" nel registro, grazie ai quali impedire l'esecuzione del controllo fallato: l'intera procedura è automatizzabile grazie al "Fixt It For Me" scaricabile partendo dal relativo articolo proposto dal supporto tecnico.

Sebbene il vetusto Windows 2000, così come Windows Vista, Windows Server 2008 e, probabilmente, anche Windows 7 siano al sicuro, Microsoft raccomanda di procedere comunque alla disattivazione del controllo fallato anche sotto tali sistemi operativi, come sorta di "misura preventiva addizionale".

La seconda alternativa potrebbe essere quella di aggiornare Internet Explorer alla versione 8: stando ad alcune opinioni apparse in rete infatti, solamente le versioni 6 e 7 del browser sono a rischio. Va comunque ricordato che nessuno dei documenti ufficiali Microsoft fa menzione di tale possibilità, così come non se ne trova traccia neanche nel bollettino di Secunia o nell'advisory emanato da CERT.

La strada più drastica per arginare il problema è quella di utilizzare un browser alternativo, perlomeno fino a quando non sarà pronta la patch: Firefox, Chrome, Opera e Safari infatti, non supportano i controlli ActiveX e sono quindi immuni al problema.

Curioso notare che, stando a quanto riportato da Microsoft stessa, non vi sono reali utilizzi pratici per il controllo fallato all'interno di Internet Explorer: la sua disattivazione non doverebbe quindi generare alcun effetto collaterale.

Falle ancora aperte

La nuova debolezza non è la sola ad impensierire gli esperti. Come si ricoderà infatti, Microsoft aveva rintracciato un serio problema in DirectX già sul finire di maggio.

Anche tale vulnerabilità, per la quale non è ancora disponibile una patch, potrebbe essere sfruttata via web per compromettere un sistema governato da Windows XP o Windows Server 2003.