Alert GCSA-07112 – Vulnerabilita’ in Microsoft Windows URI Handling

Descrizione del problema

E’ stata identificata una vulnerabilita’ in Microsoft Windows
che potrebbe essere sfruttata per eseguire da remoto codice
arbitrario e prendere il controllo completo nei sistemi con
installato Microsoft Internet Explorer 7.
Tale vulnerabilita’ e’ dovuta ad un errore nelle modalita’
in cui la shell di Windows gestisce URI appositamente predisposti
che le vengono passati. Se la shell di Windows non convalida
sufficientemente tali URI (es. “mailto:”), un attaccante potrebbe
sfruttare questa vulnerabilita’ per eseguire codice arbitrario.
Mediante questa vulnerabilita’ un utente puo’ inoltre essere
indotto a visitare pagine web appositamente predisposte usando
un’applicazione vulnerabile (es. Netscape o mIRC).

Microsoft Internet Explorer

HOAX
!!!! CESTINARE IMMEDIATAMENTE !!!!!!Microsoft Internet Explorer 16/01/2003

ecco il testo dell’e-mail

> > > > Oggetto: I: [martul] Fw: far girare e leggere subito….
> > > >
> > > >
> > > > > >>Cari colleghi ed amici, ricevo e trasmetto: leggete questa
lettera
> e
> > > > >agite
> > > > > >velocemente. Io vi invio questa lettera in quanto mi e stata
> inviata
> > da
> > > > >un
> > > > > >professionista e caro amico. o meglio da un nostro Consigliere
API,
> > nel
> > > > > >contempo Consigliere AICE.
> > > > > >”La Microsoft e AOL al giorno d’oggi le piu grandi compagnie
della
> > > rete,
> > > > > >per assicurare ad Internet Explorer il posto di programma piu
> usato,
> > > > >hanno
> > > > > >testato la versione beta di questo programma. Quando invierete
> questa
> > > > > >lettera ai vostri amici, Microsoft la controllera (sempre che
essi
> > > usino
> > > > > >Microsoft Windows) per due settimane.
> > > > > >Microsoft vi paghera $ 245 per ogni persona a cui manderete
questa
> > > > > >comunicazione.
> > > > > >Microsoft paghera $ 243 per ogni vostra lettera forwardata e per
> ogni
> > > > > >terza persona che ricevera la vostra comunicazione,
> > > > > >Microsoft paghera $ 241.
> > > > > >Tra due settimane Microsoft si mettera in contatto con voi via
> e-mail
> > e
> > > > >vi
> > > > > >spedira l’assegno. Io all’inizio ho dubitato, fino a quando, due
> > > > >settimane
> > > > > >dopo che ho mandato tale comunicazione, non ho ricevuto per posta
> > > > > >elettronica la comunicazione e alcuni giorni dopo l’assegno di $
> > > > >24800.00.
> > > > > >Dovete assolutamente mandare tale comunicazione prima che termini
> il
> > > > >test
> > > > > >della versione beta di Internet Explorer.
> > > > > >Colui che si puo permettere tutto questo e il sig. Bill Gates.
> > > > > >Tutte le spese di marketing sono sostenute da lui”.
> > > > > >
> > > > > >Emilio Bossi, Apimilano – Servizio Estero (29.10.01)