Scoperto un metodo che consente di far girare codice arbitrario sul sistema dell’utente.
Quella che per settimane è stata considerata una falla insita nei prodotti
Acrobat ed Acrobat Reader di Adobe per quanto riguarda la gestione di URL contenenti
riferimenti a particolari protocolli, appare ora più che altro un problema
legato a Windows XP ed Internet Explorer 7.
Con un suo bollettino, da poco pubblicato online, Microsoft ammette di aver
scoperto un espediente che può essere utilizzato da parte di malintenzionati
per compiere azioni potenzialmente dannose sul sistema dell’utente.
Sebbene il contenuto del bollettino appaia abbastanza vago, un articolo pubblicato
sul blog del Microsoft Security Response Center (MSRC) risulta decisamente più
chiarificatore.
Il team di Microsoft ha dichiarato infatti di aver individuato una possibile
metodologia di attacco basata sull’utilizzo di URI “malformati”: questi
indirizzi vengono generalmente rigettati da Internet Explorer 6 allorquando
siano ricevuti da un’altra applicazione installata su un sistema Windows XP
mentre vengono invece presi in considerazione dal più recente Internet
Explorer 7.
IE7 è stato sviluppato per andare “a braccetto” con Windows
Vista e sfruttare il nuovo livello di protezione insito nel sistema operativo.
Evidentemente misure similari non sono poi state reintrodotte per quanto riguarda
la versione del browser compatibile con Windows XP.
Durante i test dei tecnici Microsoft si è provveduto ad utilizzare
l’identificatore di risorsa mailto:// che è stato proprio utilizzato
dal ricercatore Petko D. Petkov per eseguire codice arbitrario da file PDF.
Il video sottostante, sebbene non sia qualitativamente eccellente, mostra come
– aprendo due file in formato PDF – vengano eseguiti, rispettivamente, la calcolatrice
di Windows ed il Blocco Note. Un aggressore, com’è ovvio, utilizzando
la medesima tecnica potrebbe, anziché avviare applicazioni benigne, lanciare
comandi estremamente pericolosi.
“Quando un’applicazione si trova a gestire un URI, decide autonomamente
come questo debba essere trattato”, spiega il team di Microsoft. Nel caso
dei protocolli considerati per anni come “sicuri” (ad esempio, mailto://
oppure http://), le applicazioni solitamente effettuano solamente una verifica
del prefisso invocando poi la funzione di Windows ShellExecute() per la loro
esecuzione.
Internet Explorer 6 è stato sviluppato integrando alcune verifiche aggiuntive
che permettono di “stralciare” URI sospetti o comunque contenenti
caratteri speciali (come il simbolo del percento). In alcuni casi, come per
l'”accoppiata” IE7-Windows XP, può accadere che i controlli
non avvengano nel modo adeguato e che vengano trasmessi alla funzione ShellExecute()
URI che poi potrebbero essere tratatti come file locali, così come se
fossero lanciati o comunque richiesti dall’utente.
Il team di Microsoft ha iniziato a suggerire alle varie software house (compresa,
evidentemente, Adobe), di contare meno sulle funzionalità di base di
Windows ed effettuare un filtraggio degli URI anche in forma autonoma.
Secondo quanto dichiarato dal colosso di Redmond, inoltre, l’azienda starebbe
già lavorando per rivedere le modalità con cui la funzione ShellExecute()
gestisce gli URI in modo tale che i controlli effettuati siano più severi.
