Ci risiamo, immagini di nuovo a rischio per chi usa Windows. Pronta la patch

Questo articolo vi arriva grazie alle gentili donazioni di “alecorcella”, “kurotogane” e “fizzoni”.

La eEye Digital Security ha scoperto una falla di Windows Media Player che consente di prendere il controllo di un PC Windows usando semplicemente un'immagine. No, questa notizia non è un doppione: stavolta il formato d'immagine a rischio non è il vetusto WMF che ha causato il panico ai primi di gennaio 2006, ma il più diffuso BMP.

Secondo l'annuncio di eEye, la falla è costituita da un buffer non controllato presente nel codice di Windows Media Player, dalle versioni 7.1 alla 10, per Windows NT, Windows 2000 SP4, Windows XP con Service Pack 1 e 2, e Windows 2003.

Per sfruttare la falla è sufficiente confezionare un'immagine in formato BMP e darla in pasto a Windows Media Player, oppure confezionare un documento, per esempio con Word, immettendovi un'immagine in formato WMP (Windows Media Player). Securityfocus indica anche la possibilità di usare una skin di Media Player.

Se l'utente ha privilegi di amministratore (la norma, purtroppo, in Windows), la falla consente all'aggressore di prendere completamente il controllo del computer della vittima: installare programmi e vedere, cambiare o cancellare dati, per esempio.

Microsoft ha pubblicato la patch (aggiornamento) che ripara questa falla e varie altre, documentate dal bollettino Microsoft di febbraio. Una di queste altre falle, come quella BMP, è considerata "critica" e riguarda Internet Explorer; le altre cinque sono classificate come "importanti".

È ovviamente consigliabile scaricare e installare subito questi aggiornamenti di sicurezza, usando la normale funzione Windows Update.

eEye segnala inoltre che ci sono ancora tre falle aperte riguardanti il software Microsoft: due di esse sono ad alto rischio, e la più vecchia attende di essere rimediata da 225 giorni. Zio Bill non è l'unico a prendersela un po' troppo comoda: eEye nota che il software di Real Networks, per esempio, ha due falle in attesa di rattoppo rispettivamente da 30 e 16 giorni.

Punto Informatico, inoltre, segnala la scoperta tutta italiana di un'altra vulnerabilità grave in Windows, che non viene risolta dalle patch Microsoft più recenti.