IE7: Falla Phishing Navcancl.htm

[dgenerated]

Microsoft sta indagando su nuove segnalazioni relative ad una vulnerabilitÃ* in Internet Explorer 7 che potrebbe aiutare i cybercriminali a lanciare attacchi di phishing contro gli utenti del suo nuovo browser. La falla di sicurezza interessa Internet Explorer 7 su Windows Vista e XP.

Internet Explorer 7.0 presenta una vulnerabilitÃ* di cross-site scripting in una delle sua risorse locali. Questo problema in combinazione con una falla di design nel browser consente attacchi di phishing.

Un attacker può infatti usare un messaggio di errore mostrato dall'ultima versione del browser del colosso per dirigere gli utenti del software su siti web nocivi che saranno mostrati con l'indirizzo di un sito sicuro, come per esempio quello di una banca online, lo ha segnalato Aviv Raff, un programmatore israeliano esperto di sicurezza, sul suo sito web. Raff ha anche pubblicato un Proof of Concept dell'exploit della vulnerabilitÃ*, nell'ambito del quale un messaggio di errore (navcancl.htm) dirige i visitatori verso un sito arbitrario.La vulnerabilitÃ* risiede nel messaggio che viene mostrato da IE quando il caricamento di una pagina web viene bloccato. Un utente malintenzionato potrebbe manomettere questo messaggio per includere un link nocivo nella pagina di risorse locale navcancl.htm (modificando il link che solitamente consente di ritentare il caricamento dell'indirizzo web).

Raff spiega: "Quando un navigazione viene bloccata, l'URL della pagina specifica viene inviato alla risorse locale navcancl.htm dopo il segno #. navcancl.htm si occupa di generare uno script nel link 'Refresh the page' in modo da permettere il ricaricamento del sito originario al clic dell'utente. È Possibile iniettare uno script in questo link in modo da questo sia eseguito al clic dell'utente su 'Refresh the page'. Fortunatamente Internet Explorer ora si esegue la maggior parte delle risorse locali (compreso navcancl.htm) nella 'Internet Zone', quindi questa vulnerabilitÃ* non può essere sfruttata per condurre un a attacco di esecuzione di codice da remoto. Sfortunatamente tuttavia, esiste anche una bug di progettazione in IE7. Il browser infatti rimuove automaticamente la URL path della risorse locale e lascia solo l'URL fornito. Per esempio quando un utente visita 'res://ieframe.dll/navcancl.htm#http://www.site.com', IE7 mostrerÃ* 'http://www.site.com' nella barra degli indirizzi".

Un portavoce di Microsoft commenta: "Microsoft non è a conoscenza di attacchi che stanno tentando di sfruttare la vulnerabilitÃ* segnalata … continueremo ad indagare per aiutare a fornire assistenza addizionale ai clienti se necessario".

Per condurre un attacco di phishing tramite questa falla, un attacker potrebbe creare un link modificato ad arte alla risorse locale navcancl.htm con uno script che mostri contenuti fasulli di un sito fidato (se.:. una banca, paypal, MySpace). Quando la vittima aprirÃ* il link inviato dall'attacker, una pagina "Navigation Canceled" sarÃ* mostrata nel browser. La vittima penserÃ* ad un errore nel sito o a qualche altro tipo di problema di rete e tenterÃ* di ricaricare la pagina. Una volta cliccato sul link 'Refresh the page', verrÃ* mostrato il contenuto fasullo (come per esempio un pagina di login fake) e la vittima sarÃ* indotta a pensare di star visitando un sito legittimo, dato che la barra degli indirizzi mostrerÃ* l'URL corretto. In rete sono disponibili un Proof-of-Concept dell'exploit e un video dimostrativo.

Fino alla disponibilitÃ* di una patch per questo problema di sicurezza Raff suggerisce a tutti gli utenti del nuovo browser di non prestare molta attenzione alle pagine "Navigation Canceled", evitando di usare il link integrato in questa pagina di errore per ricaricare i siti web

[Solo gli utenti registrati possono visualizzare tutti i links]