Dallo scorso 23 Agosto, il CERT-SPC ha monitorato l'evolversi delle informazioni relative ad una vulnerabilità che può consentire l'esecuzione di codice malevolo attraverso le librerie dinamiche (DLL) utilizzate dalle applicazioni nei sistemi Windows. Microsoft con l'advisory 2269637 ha confermato la vulnerabilità, nota in Rete già dalla scorsa settimana, ed ha pubblicato un workaround per mitigare gli effetti dell'attacco per il quale è disponibile in Rete un exploit di tipo PoF (proof-of-concept).

Il clamore suscitato dalla notizia in queste ore risiede, dunque, nella modalità con cui questa vulnerabilità può essere sfruttata: l'applicazione software avviata dall'utente, anziché caricare il file DLL dalla memoria locale, istanzia una libreria da una risorsa remota. Un'operazione, questa, valutata legittima dai software di protezione ed antivirus che potrebbero non intercettare efficacemente in prima istanza l'eventuale presenza di codice malevolo.

Al momento Microsoft non ha rilasciato il software correttivo proprio per la natura della vulnerabilità descritta ed ha fornito, invece, una serie di contromisure (workaround) in grado di arginare l'impatto della vulnerabilità mitigandone gli effetti. In particolare è indicato come linea guida di riferimento di specificare il percorso dove l'applicazione deve puntare per trovare la libreria richiesta, evitando così che l'attaccante possa far eseguire una libreria DLL diversa da quella prevista. I ricercatori che hanno analizzato la vulnerabilità la scorsa settimana indicano, quale ulteriore precauzione, l'opportunità di disabilitare in via provvisoria i servizi SMB e WebDav per mitigare la propagazione dell'attacco. A tal proposito Microsoft ha realizzato un hot-fix che automaticamente applica i workaround suggeriti per aumentare al pervasività delle temporanee contromisure proposte.

Considerata la natura della vulnerabilità soltanto i produttori dei software interessati da questa vulnerabilità potranno provvedere a rilasciare gli eventuali aggiornamenti di sicurezza. Attualmente l'expoit PoF per questa vulnerabilità è disponibile per diverse applicazioni abbastanza comuni come Opera, Firefox, Mirosoft Power Point, Microsoft Address Book ed Adobe Photoshop. Lo scenario di attacco per questo exploit prevede che un utente apra un documento o un file immagine con l'applicazione interessata affinché la vulnerabilità venga sfruttata. L'attaccante deve aver preventivamente realizzato un file DLL ad hoc associato alle applicazioni sopra indicate. L’impatto stimato, in caso di successo dell’attacco, è l’esecuzione di codice arbitrario nel contesto di sicurezza dell’utente che ha avviato l’applicazione vulnerabile.

Ulteriori dettagli sono disponibili presso le seguenti URL: http://blog.rapid7.com/?p=5325 http://www.microsoft.com/technet/security/advisory/2269637.mspx