E’ in corso in questi giorni un attacco online che sfrutta una vulnerabilità del software di database Microsoft Office Access. E’ lo stesso produttore ad avvertire gli utenti, segnalando che il problema risiede nel controllo ActiveX Snapshot Viewer, incluso “in tutte le versioni supportate di Microsoft Office Access eccetto Microsoft Access 2007”, riporta Microsoft nel suo avviso di sicurezza di lunedì. Sono stati rilasciato pochi dettagli su come viene sfruttato il bug, ma si sa che è un corso un attacco che cerca di trarre vantaggio dal problema. “L’attacco sembra essere mirato, non ad ampio raggio”, sostiene Bill Sisk, portavoce di Microsoft. Gli attaccanti stanno cercando di attrarre le vittime su una pagina Web appositamente realizzata che tenta di eseguire il codice di attacco all’interno di Internet Explorer. Il bug offre un modo agli attaccanti di eseguire codice malizioso sulle macchine delle vittime.
L’avviso di sicurezza di Microsoft offre alcuni metodi per aggirare il problema, ma non comunica quando sarà rilasciato il fix per il bug sottostante. “Invitiamo i clienti a implementare le soluzioni manuali incluse nel nostro Security Advisory, che sono state testate da Microsoft”, continua Sisk. “Anche se queste soluzioni non correggono la vulnerabilità sottostante, aiutano a bloccare i vettori di attacco conosciuti”.
Snapshot Viewer consente di vedere un report di Microsoft Access senza dover eseguire il software completo di Access. E’ possibile scaricarlo come software stand-alone. Dato che il controllo ActiveX vulnerabile ha la firma digitale di Microsoft, alcuni utenti potrebbero essere attaccati anche se non hanno installato il controllo Snapshot Viewer. Gli utenti che hanno configurato Internet Explorer per ritenere affidabile il software di Microsoft, potrebbero essere indotti a scaricare in modo nascosto il visualizzatore e poi essere attaccati via Web, secondo quanto affermato da Matthew Richard, direttore dell’iDefense Rapid Response Team di Verisign.
Fonte: www.pcworld.it