Non vi è un momento di calma per Firefox, nonostante le patch di Luglio, due ricercatori contro gli attacchi alla sicurezza hanno rivelato la prima settimana di Settembre 2007 l’esistenza di un’ulteriore exploit: il protocol handling bug. Adesso si scopre invece una vulnerabilità in QuickTime vecchia di un’anno che permette l’installazione di backdoors ed altro malware all’interno del proprio PC nonostante siano stati installati tutti gli aggiornamenti della sicurezza di Windows. Petko D. Petkov, ricercatore contro gli attacchi alla sicurezza (ha rivelato i dettagli sulla vulnerabilità di QuickTime) afferma che il problema causato da QuickTime è meno critico del protocol handling bug, ciò nonostante vanno a formare insieme un cocktail micidiale ..

Secondo Petkov, la versione corrente di QuickTime ha una falla nella funzione Media Link, che permette al programma di analizzare fino a 60 tipi differenti di files tramite un’estensione compatibile. Il codice maligno può successivamente essere eseguito come codice JavaScript. Petkov riporta inoltre che l’exploit bypassa i privilegi “chrome” in Firefox e le caratteristiche di sicurezza. A testimonianza di tutto ciò il ricercatore ha pubblicato un codice proof-of-concept che avvalora la sua tesi e consiglia a tutti gli utilizzatori di Firefox di munirsi dell’estensione NoScript che inibisce l’esecuzione di codice non sicuro.

Window Snyder (Mozilla security chief) non ha potuto far altro che confermare la falla di sicurezza.

NOTE FINALI:

Attenzione: Sembra che la falla di QuickTime riguardi solo Firefox ma non è cosi’. E’ passato in secondo piano che la falla di QuickTime può essere utilizzata per sfruttare l’accesso a Firefox, Internet Explorer, Skype ed altri programmi ….

FONTE: http://www.eweek.com/article2/0,1895,2182842,00.asp