Nuova falla critica per QuickTime

Nuovo allarme per la sicurezza lanciato da Symantec: un bug nel lettore multimediale QuickTime sviluppato da Apple potrebbe consentire l’esecuzione di programmi non autorizzati dagli utenti. Il baco identificato dalla software house californiana dovrebbe interessare i sistemi operativi Windows XP e Vista di Microsoft, mentre non dovrebbe comportare alcun rischio per i sistemi Mac OsX come Tiger e il recente Leopard.

Il bug interessa le versioni 7.2 e 7.3 di QuickTime ed è causato da un’errata gestione del protocollo RTSP (Real Time Streaming Protocol), utilizzato come standard per lo streaming audio/video. Secondo quanto riportato da Symantec, i pirati informatici potrebbero dirottare gli utenti su pagine Web dotate di contenuti in streaming appositamente creati per sfruttare la falla di sicurezza riscontrata nel player Apple. Oltre alle possibilità di attacco via browser, potrebbero essere utilizzati particolari file QTL allegati ai comuni messaggi di posta elettronica. Ottenuto l’accesso in remoto al sistema operativo, l’utente malintenzionato sarebbe poi in grado di installare virus, malware, spambot e programmi per ottenere password e informazioni personali. Un attacco fallito, invece, manderebbe semplicemente in crash QuickTime senza gravi conseguenze per la stabilità del sistema operativo.

La pericolosità del bug è aggravata da una evidente dimenticanza cui sono andati incontro gli sviluppatori di Cupertino, che hanno quasi completamente trascurato l’opzione Address Space Layout Randomization (ASLR) fornita dal nuovo sistema operativo di Microsoft. ASLR consente infatti di aumentare la sicurezza di un PC spostando casualmente, ogni qualvolta un programma viene eseguito, l’indirizzo virtuale delle librerie di sistema, rendendo molto più difficoltosa l’identificazione dei file da parte di un utente malintenzionato. L’assenza di questa funzione rende estremamente più semplice lo sfruttamento della falla di sicurezza identificata da Symantec. A causa dell’estrema diffusione dell’applicativo, QuickTime è soggetto a continui attacchi: dall’inizio dell’anno ad oggi Apple ha già rilasciato ben sei aggiornamenti per il suo player, correggendo complessivamente più di 30 falle nel suo codice.