Grave falla scoperta in Internet Explorer 11, una vulnerabilità che permette a un malintenzionato di rubare password e dati di accesso, nonché d’inserirsi nel traffico web e aggiungervi contenuti pericolosi, come malware o link a pagine infette. Microsoft è a conoscenza del problema è sta già lavorando a una soluzione.
Per essere più precisi, si tratta di una vulnerabilità XSS, che permette di eseguire un attacco aggirando la same origin policy, uno strumento che dovrebbe autorizzare solo comandi dal sito web che si sta visitando e non da altri, e altresì impedire a un sito web di modificare i cookie di un altro sito.
Con Explorer 11 è possibile aggirare tale limite; nella demo un sito inserisce una stringa indesiderata su un altro sito. Per portare a termine l’attacco si sfruttano gli iframe (apri questa pagina per approfondire) una sorta di “contenitore” utile in questo caso a ingannare il browser riguardo l’origine di un elemento.
Come scrive Dan Gordin su ArsTechnica “Sarebbe semplice rubare i cookie di autenticazione […]. Una volta che ci si è impossessati dei cookie un attaccante potrebbe avere accesso all’area riservata che sarebbe normalmente accessibile solo alla vittima, compresa quella con i dati della carta di credito, cronologia di navigazione e altri dati riservati. I phisher potrebbero anche sfruttare il bug per spingere le persone a comunicare password per siti sensibili”.
Microsoft afferma di essere al lavoro per trovare una soluzione. L’azienda di Redmond rinnova il consiglio a non cliccare su link sospetti e a chiudere sempre la sessione quando si lascia un sito.
Le possibilità di far cadere qualcuno in trappola sono oggi purtroppo in forte aumento a causa dei social network.
Vincenzo Abate
