Microsoft: your insecurity, our passion

Si fa un gran parlare di sicurezza, di questi tempi. Pare che i Rom siano il problema principale, come se li avessimo tra noi da ieri. Mah…

Ma passando all’informatica, colpisce come la sicurezza sia così poco considerata, nell’ambiente proprietario.

Oggi ho scoperto, per dire, che una falla di sicurezza segnalata come gravissima da Secunia, riguardante Microsoft Access, non è ancora stata patchata.

http://secunia.com/advisories/30883

Leggiamo bene il report:

Description:
A vulnerability has been reported in Snapshot Viewer for Microsoft Access, which can be exploited by malicious people to compromise a user’s system.

The vulnerability is caused due to the snapview.ocx ActiveX control reportedly allowing files to be automatically downloaded to arbitrary locations on a user’s system when e.g. visiting a malicious website.

Successful exploitation allows execution of arbitrary code.

NOTE: The vulnerability is currently being actively exploited

Tradotto: la vulnerabilità causata dall’ActiveX di Snapshot Viewer compromette chi visita un sito web con tale controllo ActiveX, permettendo all’aggressore di eseguire sulla macchina remota del codice arbitrario e di farle automaticamente scaricare un file (quindi può tranquillamente fare quel che gli pare, in parole povere)
Non solo, la vulnerabilità è già attivamente utilizzata.

Basta fare un confronto con le recenti falle in sistemi open source, come quella dell’OpenSSL di Debian.
Scoperta da Debian stessa, mai usata nella pratica, patchata in poche ore.

Bella differenza no?
Eppure quella falla è considerata “gravissima” e ha messo in ginocchio la reputazione di Debian, pur non avendo causato alcun danno (a parte quelli a Verisign che ha dovuto ricalcolare le chiavi). Le falle dei prodotti Windows rimangono incorrette per mesi, a volte per anni, permettendo ad esempio a vecchi virus di attaccare il nuovissimo Windows Vista. Ma nessuno si scandalizza.
Forse perché è ormai considerato normale che i sistemi Microsoft siano insicuri, al punto che la legge italiana prevede l’obbligo di installare un antivirus per i computer che custodiscono dati sensibili.

Viceversa una falla grave in un sistema GNU/Linux è come quando nevica ad agosto…

About these ads