www.MegaLab.it

Durante la serata di ieri, Microsoft ha rilasciato due patch di sicurezza straordinarie. Si tratta di aggiornamenti per Visual Studio ed Internet Explorer che, considerata la concreta possibilità che i problemi corretti possano essere sfruttati a breve, non potevano attendere l'appuntamento regolare dell'11 agosto prossimo.

Il problema, in verità, è fondalmentalmente uno solo. Un baco scoperto nella libreria Microsoft Active Template Library (ATL) potrebbe consentire ad un utente ostile di portare un attacco che, in caso avesse successo, permetterebbe di eseguire codice da remoto e quindi prendere pieno controllo del calcolatore aggredito attraverso Internet.

MS09-034: per tutti

Un baco in una componente di sistema, quindi, ma che potrebbe essere raggiunto anche utilizzando Internet Explorer come vettore d'attacco: poiché la funzione fallata è richiamabile tramite ActiveX, un cracker potrebbe confezionare una pagina web malformata, in grado di far scattare la trappola automaticamente non appena aperta con una versione non debitamente aggiornata del navigatore web di Windows.

Ecco quindi che Microsoft ha rilasciato la patch presentata nel bollettino Cumulative Security Update for Internet Explorer (MS09-034): si tratta di un update incaricato di inibire la possibilità che Internet Explorer possa richiamare il componente difettoso, oltre a risolvere molteplici bachi simili, ma non direttamente correlati.

Sono interessate dal problema tutte le versioni di Internet Explorer (5.01, 6 SP1, 7 ed 8) abbinate a quasi tutti i sistemi operativi Microsoft. L'unico al sicuro è infatti Windows 7, però nella sola compilazione "RTM": Beta, RC e tutte le build trafugate parrebbero invece essere affette.

MS09-035: per soli sviluppatori

Ma poiché la falla risiede in una libraria riutilizzabile, è necessario che anche tutti gli sviluppatori che abbiano utilizzato tale componente provvedano a distribuire versioni corrette dei propri software.

A tale scopo, Microsoft ha presentato l'aggiornamento Vulnerabilities in Visual Studio Active Template Library... (MS09-035): si tratta di una patch per Visual Studio che sostituisce la libreria ATL fallata con una copia epurata dal problema, consentendo così ai programmatori di ricompilare i propri listati in maniera pressoché immediata, realizzandone una versione aggiornata e sicura.