[English readers: you can find English links in this post for your convenience]

Avrete letto di una vulnerabilità in IE dimostrata dall’italiano Rosario Valotta all’ultima conferenza “Hack In The Box 2011” che permetterebbe, facendo leva su una significativa interazione dell’utente (di fatto si richiede non solo di cliccare, ma anche di spostare diversi oggetti in una pagina web), di rubare i cookies dei siti sui quali ci si è precedentemente loggati: si tratta di una variante degli attacchi di “clickjacking”, problema che è noto essere trasversale a tutti i browser, e che è stato battezzato dallo stesso Valotta con il nome di “cookiejacking”.

Vi segnalo il post di Brandon LeBlanc che, prendendo spunto da questa problematica, riporta alcune raccomandazioni relative agli attacchi di tipo social engineering:

Windows Security Blog > Combating social engineering tactics, like cookiejacking, to stay safer online

Il post indica come la navigazione privata (funzionalità di InPrivate Browsing) rappresenti un workaround efficace (perché di fatto evita che si memorizzino i cookie di sessione che si vorrebbe rubare).

Si segnala, inoltre, che si sta già provvedendo a realizzare un aggiornamento correttivo: dal momento che non si tratta di una vulnerabilità di tipo Remote Code Execution (ma è di tipo Information Disclosure), che non è al momento attivamente sfruttata per attacchi, e che richiede una significativa interazione dell’utente per poter portare a termine l’attacco, mi sento di poter dire che l’update verrà fornito tramite un rilascio di sicurezza ordinario.

Feliciano

Other related posts/resources: