Questo articolo vi arriva grazie alle gentili donazioni di "isanera" e "oricciardi".
Da fine marzo è in corso un nuovo attacco contro gli utenti di Internet Explorer, ai quali basta visitare un sito per essere infettati. Il problema è che gli aggressori hanno alterato anche siti fidati e sfruttano una falla di Internet Explorer per la quale Microsoft non ha ancora rilasciato una correzione. Per il momento, l'unico rimedio è usare la tecnica consigliata da sempre: sostituire Internet Explorer con qualsiasi altro programma analogo, per esempio Opera o Firefox.
Secunia definisce "estremamente critica" la falla, catalogata formalmente come CVE-2006-1359, e indica che ne sono affette tutte le versioni recenti di IE, dalla 5.01 in su fino alla versione-anteprima di Internet Explorer 7 (Beta 2 Preview) rilasciata da zio Bill a gennaio.
La falla nasce da un errore nella gestione della chiamata "createTextRange()" in IE. Non richiede alcuna interazione dell'utente con il sito ostile: è sufficiente visitarlo con Internet Explorer.
Microsoft dice che la pezza di correzione verrà rilasciata insieme alle altre correzioni nel solito aggiornamento mensile, previsto per l'11 di aprile, ma potrebbe essere rilasciata anche prima se necessario. Inoltre afferma che la versione di IE7 Beta di marzo non è affetta dalla falla.
In attesa del rilascio della correzione, Microsoft consiglia di configurare IE in modo che faccia comparire una richiesta di conferma prima di eseguire istruzioni di Active Scripting, oppure di disabilitare l'Active Scripting nelle zone Internet e Locale; consiglia inoltre di impostare i livelli di sicurezza ad "Alta" per l'Active Scripting in queste zone.
Le istruzioni sono qui in inglese; può darsi ci sia una versione italiana, ma mi sembra un procedimento molto macchinoso che oltretutto rende scomodissima la navigazione nei siti che (poco furbamente) usano l'Active Scripting: meglio tagliare la testa al toro e passare a un programma alternativo, come appunto Firefox o Opera (cosa che ovviamente zio Bill non osa consigliarvi).
Se per qualsiasi motivo dovete restare fedeli a Internet Explorer e non potete disattivare l'Active Scripting, potete valutare le correzioni temporanee a questa falla offerte da Determina, Eeye e Websense (ma non approvate da Microsoft).
La BBC riferisce che sono oltre 200 i siti che tentano di infettare gli utenti usando questa falla. Casi come questo mostrano quanto sia irresponsabile l'atteggiamento dei siti che impongono l'uso di Internet Explorer "per motivi di sicurezza".
Nessun commento:
Posta un commento