Spiffero per cracker in MSN Messenger

Alcune versioni dello sparamessaggini Microsoft sono afflitte da un baco grave. Una breccia attraverso cui potrebbe passare un cracker

10/05/02 - Ieri Microsoft ha divulgato un nuovo advisory di sicurezza in cui descrive una falla nel suo software di instant messaging che, in taluni casi, potrebbe consentire ad un cracker di prendere il controllo del computer dell'utente. Microsoft ha classificato questa vulnerabilità come "critica" sui sistemi client.

Secondo il bollettino di Microsoft, il problema risiede nel controllo ActiveX denominato "MSN Chat", un componente che consente lo scambio di messaggi testuali fra gruppi di utenti. Il controllo, scaricabile come singolo ActiveX da un certo numero di siti Microsoft, è integrato in MSN Messenger ed Exchange Instant Messenger, entrambi a partire dalla versione 4.5.

Il baco, scoperto dalla società di sicurezza eEye Security, consiste in un buffer overflow contenuto in una funzione che, all'interno del controllo MSN Chat, gestisce alcuni parametri in entrata. eEye sostiene basti inviare un URL fatto in un certo modo, e passato attraverso una e-mail o una pagina HTML, perché un aggressore possa avere accesso al computer dell'utente.

Microsoft sottolinea che gli utenti di Outlook Express 6.0 e tutti coloro che hanno installato l'Outlook Email Security Update non sono vulnerabili ad un attacco via e-mail. A quanto pare possono dormire sonni tranquilli anche gli utenti di Windows XP, visto che il big di Redmond afferma che la versione di MSN Messenger integrata in questo sistema operativo non include il famigerato controllo ActiveX. A meno che - afferma sempre Microsoft - l'utente non abbia scelto di scaricarlo dal sito di MSN.

Microsoft invita i propri utenti a scaricare la patch oppure le versioni aggiornate dei propri software di instant messaging da qui.

Ringraziamo la rivista telematica Punto Informatico per averci concesso la riproduzione di questo articolo, del quale è vietata ogni ulteriore riproduzione senza previa autorizzazione dei legittimi proprietari.

Disclaimer