di

Negli ultimi mesi sono stati riscontrati diversi problemi di sicurezza in Internet Explorer e Outlook Express. In particolare, una vulnerabilità in Internet Explorer (versioni dalla 5.01 alla 5.5 e, stando a un recente bollettino, anche la 6.0) permette a utenti malintenzionati di eseguire arbitrariamente del codice (potenzialmente dannoso) sul PC di chi utilizza il noto browser.

In pratica, il problema risiede in un difetto nell'interpretazione dell'HTML: il tag EMBED, solitamente utilizzato, ad esempio, per incorporare un file musicale in una pagina web, può essere sfruttato per eseguire qualunque tipo di istruzioni sul PC dell'ignaro navigatore, tramite la tecnica nota come "buffer overflow".
Il danno può essere immediato (cancellazione di dati), può riguardare la privacy (furto di dati personali), può consistere nella diffusione inconsapevole di worm e virus (recentemente sono stati trovati diversi worm che si diffondevano grazie a bug simili), e così via. L'unico limite è rappresentato dai privilegi dell'utente correntemente connesso (ad esempio amministratore, utente semplice, ecc.; caratteristica disponibile in Windows NT, 2000, e XP).

Dal momento che la vulnerabilità riguarda il motore di rendering HTML di Internet Explorer, il problema si estende in pratica a qualunque applicazione che si "appoggi" a tale motore per mostrare all'utente delle pagine HTML (comunemente presenti non solo sul web, ma anche in alcune E-mail e messaggi usenet). Dunque il problema riguarda anche Outlook, Outlook Express, i file di help compilati di Windows (quelli con estensione .chm), e ogni altro programma che si appoggia al motore HTML di Internet Explorer - inclusi anche alcuni browser, mail reader e news reader non sviluppati da Microsoft.

Una soluzione temporanea consiste nel disabilitare l'esecuzione di oggetti incorporati nelle pagine web, disattivando l'esecuzione di controlli e plugin ActiveX, dalle impostazioni di sicurezza di Internet Explorer.

Per risolvere definitivamente il problema è necessario installare la patch rilasciata dalla Microsoft, disponibile qui. In alternativa, dato che nella versione 6 di Internet Explorer (e Outlook) sono stati corretti diversi bug, è consigliabile installare direttamente questa nuova versione (disponibile gratuitamente sul sito della Microsoft o su CD in allegato a diverse riviste di informatica), applicando poi le patch disponibili su www.microsoft.com per risolvere gli altri bug comunque presenti.

Aggiornato il 1 marzo 2002