Falla in Trend Micro HouseCall

Anche gli strumenti nati per verificare se il computer in uso è stato infettato da virus, spyware o altre minacce informatiche possono essere vulnerabili: lo dimostra una falla riscontrata in HouseCall, il servizio antivirus online di Trend Micro, in grado di mettere i suoi utilizzatori a rischio di attacchi esterni. La vulnerabilità risiede nel controllo ActiveX utilizzato dal servizio (Housecall_ActiveX.dll) e colpisce solamente gli utenti di Internet Explorer. Trend Micro ha dichiarato di aver già corretto il controllo incriminato e aggiornato di conseguenza il server pubblico di HouseCall; si tratta però solamente di un workaround, non ancora testato a sufficienza per essere considerato un aggiornamento certificato.

La vulnerabilità, etichettata da Secunia come altamente critica, può essere sfruttata da utenti malintenzionati per ottenere un exploit nei computer delle loro vittime, compromettendo di conseguenza la sicurezza dei loro sistemi. L’exploit sarebbe facilitato da un errore di tipo “use-after-free”, causato cioè dall’utilizzo di una o più determinate zone di memoria dopo che queste sono state deallocate, operazione in grado di condurre l’ignaro utente ad aprire una pagina Web contenente al suo interno la funzione di callback “notifyOnLoadNative()”, opportunamente studiata per aprire un varco nel sistema e permettere così l’esecuzione di codice arbitrario.

Trend Micro ha prontamente tamponato la falla attraverso la versione pubblica di HouseCall Server 6.6 – build 1285, la cui installazione permette di proteggere gli utenti del servizio dagli attacchi sopra citati. Tuttavia, come pone ben in evidenza la società, «l’hot fix è stato sviluppato come un workaround o soluzione per un problema riportato dagli utenti. Pertanto, l’hot fix ha ricevuto un testing limitato e non è stato certificato come update ufficiale». Le compagnie che avessero già installato nei loro sistemi le versioni 6.51.0.1028 e 6.6.0.1278 (o inferiori) del controllo, possono richiedere l’aggiornamento tramite il supporto tecnico di Trend Micro.