Venerdì 12 aprile, il specialista di sicurezza informatica John Page ha pubblicato informazioni su una vulnerabilità non corretta nella versione attuale di Internet Explorer e ha dimostrato la sua implementazione. Questa vulnerabilità potrebbe potenzialmente consentire a un attaccante di accedere al contenuto dei file locali degli utenti dei sistemi Windows, eludendo il sistema di sicurezza del browser.
La vulnerabilità riguarda il modo in cui Internet Explorer gestisce i file in formato MHTML, di solito con estensione .mht o .mhtml. Questo formato è utilizzato in Internet Explorer per impostazione predefinita per il salvataggio delle pagine web, e consente di salvare tutto il contenuto della pagina insieme a tutto il contenuto multimediale in un unico file. Attualmente, la maggior parte dei browser moderni non salva più le pagine web in formato MHT e usa invece il formato standard per il WEB — HTML, comunque supportano ancora l'elaborazione di file in tale formato, e possono utilizzarlo per il salvataggio con impostazioni appropriate o tramite estensioni.
La vulnerabilità scoperta da John appartiene alla classe delle vulnerabilità XXE (XML eXternal Entity) e consiste in una configurazione errata del gestore del codice XML in Internet Explorer. "Questa vulnerabilità consente a un attaccante remoto di accedere ai file locali dell'utente e, ad esempio, estrarre informazioni sulla versione del software installato nel sistema", racconta Page. "Ad esempio, una richiesta per 'c:Python27NEWS.txt' restituirà la versione di questo programma (in questo caso, l'interprete Python)."
Poiché in Windows tutti i file MHT si aprono per impostazione predefinita in Internet Explorer, sfruttare questa vulnerabilità è un compito triviale, dato che l'utente deve semplicemente fare doppio clic su un file pericoloso ricevuto tramite email, social network o messenger.
«In genere, quando si crea un'istanza di un oggetto ActiveX, come Microsoft.XMLHTTP, l'utente riceve un avviso di sicurezza in Internet Explorer che richiede conferma per attivare contenuti bloccati», spiega il ricercatore. «Tuttavia, aprendo un file .mht preparato in anticipo utilizzando apposite marcature <xml>, l'utente non riceverà avvisi riguardo a contenuti potenzialmente pericolosi».
Secondo Page, ha testato con successo la vulnerabilità nell'attuale versione del browser Internet Explorer 11 con tutti gli ultimi aggiornamenti di sicurezza su Windows 7, Windows 10 e Windows Server 2012 R2.
Probabilmente, l'unica buona notizia nella divulgazione di questa vulnerabilità al pubblico è il fatto che la quota di mercato un tempo dominante di Internet Explorer è scesa attualmente a circa il 7,34%, secondo NetMarketShare. Ma poiché Windows utilizza Internet Explorer come applicazione predefinita per aprire i file MHT, gli utenti non devono necessariamente impostare IE come browser predefinito, e rimangono vulnerabili finché IE è presente nei loro sistemi e non prestano attenzione al formato dei file scaricati da Internet.
Il 27 marzo, John ha avvisato Microsoft riguardo a questa vulnerabilità nel loro browser, ma il 10 aprile il ricercatore ha ricevuto una risposta dall'azienda che indicava di non considerare questa problematica critica.
«La correzione sarà rilasciata solo con la prossima versione del prodotto», si legge nella lettera di Microsoft. «Attualmente non abbiamo piani per rilasciare una soluzione per questo problema».
Dopo la risposta chiara di Microsoft, il ricercatore ha pubblicato i dettagli sulla vulnerabilità zero-day sul suo sito, così come del codice di dimostrazione e un video su YouTube.
Sebbene l'implementazione di questa vulnerabilità non sia così semplice e richieda in qualche modo di costringere l'utente a eseguire un file sconosciuto in formato MHT, questa vulnerabilità non dovrebbe essere trattata con leggerezza, nonostante l'assenza di reazione da parte di Microsoft. I gruppi di hacker hanno già utilizzato file MHT per phishing e disseminazione di malware in passato, e nulla impedirà loro di farlo di nuovo adesso.
Tuttavia, per evitare questa e molte altre vulnerabilità simili, è sufficiente prestare attenzione all'estensione dei file che ricevete da Internet e verificarli con un antivirus o sul sito VirusTotal. Inoltre, per ulteriore sicurezza, impostate il vostro browser preferito, diverso da Internet Explorer, come applicazione predefinita per i file .mht o .mhtml. Ad esempio, in Windows 10, questo è abbastanza facile da fare nel menu "Seleziona app predefinite per i tipi di file".
Fonte: 3dnews.ru
