Microsoft ha rilasciato un bollettino di sicurezza riguardante una pericolosa falla riscontrata in Outlook Express 6 e 5.5: durante la verifica della firma elettronica S/MIME delle mail può verificarsi un buffer overflow che lascia all'attaccante via libera per eseguire codice di propria scelta sulla macchina, nell'ambito dei privilegi dell'utente destinatario del messaggio.

In ossequio al discutibile principio della security through obscurity, Microsoft non fornisce i dettagli implementativi della vulnerabilità. Infatti nel bollettino si accenna appena a una "particolare condizione di errore" non meglio precisata, ma sono sottolineati più volte i fattori che in qualche modo attenuerebbero la pericolosità della falla: si precisa che essa non riguarda Outlook, ma solamente Outlook Express e soltanto le mail firmate S/MIME, e si sottolinea che l'attaccante agisce con i privilegi del destinatario della mail, rimarcando come tutte le limitazioni imposte all'account dell'utente si applichino anche all'attaccante stesso. Si tace, però, che se l'account in questione ha privilegi amministrativi l'attaccante ottiene, di fatto, pieno controllo della macchina.

Vale infine la pena di evidenziare, dal momento che il bollettino Microsoft glissa elegantemente, che è sufficiente slezionare la mail in modalità preview perché il tentativo di attacco possa avere successo.

Ringraziamo il lettore Massimo Nespolo per la segnalazione.