MS, patch di Novembre non risolve falla IFRAME

Come annunciato Microsoft ha rilasciato con leggero anticipo il bollettino di sicurezza mensile. L’aggiornamento sorprende però in quanto le auspicabili patch per Internet Explorer non sono presenti e l’attenzione cade più su cosa non viene risolto, piuttosto che sui problemi ai quali l’aggiornamento pone rimedio.

Tra le cose non risolte emerge innanzitutto la falla riscontrata nell’interpretazione del tag IFRAME da parte del browser IE. Un exploit è già in circolazione ed il virus MyDoom potrebbe cavalcarne l’onda per diffondersi con una certa rapidità (causando non pochi problemi ad utenti impossibilitati ad intervenire se non cambiando software).

L’intervento del bollettino MS04-039, invece, giunge a risolvere una falla definita «importante» nei software ISA Server 2000 (Internet Security and Acceleration Server) e Proxy Server 2.0. Risulta immune, invece, Microsoft ISA Server 2004.

La vulnerabilità apriva il sistema al pericolo spoofing ed una sollecita installazione della patch mette al riparo da un exploit che, per andare a segno, deve fruire della collaborazione dell’utente vittima (necessaria la navigazione all’interno di un sito web truffaldino appositamente predisposto). Secondo Symantec al momento nessun utente avrebbe mai segnalato di aver subito l’exploit, e la pericolosità del tutto sarebbe legata alla possibilità da parte di un utente di intervenire da remoto sulla cache del server effettuando eventualmente pericolose sostituzioni di file: la fruizione del sito web risulterebbe così pericolosamente compromessa e l’utente che fruisce del sito attaccato (ancor più se si fa riferimento ad esempio ad istituti bancari) sarebbe soggetto ad importante pericolo.