Tappata la falla Word in OpenOffice.org

Tre giorni fa è stata scoperta una falla nel modo in cui OpenOffice.org gestisce i file in formato Microsoft Word, che permetterebbe a un aggressore di prendere il controllo di un computer tramite un documento Word appositamente confezionato.

La falla interessa tutte le versioni della sempre più diffusa alternativa al prodotto Microsoft, inclusa la 1.1.4 (versione di produzione) e la 2.0 (beta), per tutti i sistemi operativi per i quali è disponibile il programma, compresi Linux, Solaris, Windows e Mac OS X (quest'ultimo soltanto per la versione di OpenOffice.org che si appoggia a X11; NeoOffice/J, versione maggiormente integrata in Mac OS X, non ne è afflitto).

Una vulnerabilità nella gestione della memoria nel caricamento dei file Word, infatti, avrebbe permesso a un aggressore di confezionare un documento Word "truccato" che, una volta aperto con OpenOffice.org, avrebbe prodotto un buffer overflow, classico grimaldello per far eseguire al computer della vittima istruzioni ostili e prenderne quindi il controllo.

Il team degli sviluppatori di OpenOffice.org ha già corretto l'errore e pubblicato una patch disponibile per tutti gli utenti di OpenOffice.org 1.1.4. Chi usa versioni precedenti deve aggiornarsi; chi usa la 2.0 beta dovrà attendere la disponibilità di una nuova versione beta aggiornata (la 1.9.95).

E' lodevole la rapidità con la quale è stata turata la falla prima ancora che si manifestassero attacchi concreti che lo sfruttassero, ma la sua esistenza serve da monito per ricordare che l'uso di formati e programmi open source è un ottimo passo avanti, ma da solo non costituisce una cura miracolosa per la sicurezza e non legittima l'abbandono delle norme basilari della prudenza informatica: qualunque sia il programma e il formato che usate, è buona cosa aprire soltanto file ricevuti da fonte fidata e ricordare che il mittente di un e-mail è facilmente falsificabile.

Un altro aspetto interessante di questa vulnerabilità è che crea una falla multipiattaforma, che fa leva su quello che normalmente è un punto di forza di OpenOffice.org, ossia la sua disponibilità per moltissimi sistemi operativi.

Un documento OpenOffice.org, infatti, può essere letto e modificato indifferentemente da utenti Linux, Windows, Mac, Solaris e di altri sistemi, garantendo una interoperabilità oggi impossibile per il concorrente Microsoft Office. Ma proprio questa interoperabilità significa anche che una falla in OpenOffice.org può avere effetto su tutti i sistemi operativi supportati e quindi consente di creare un "supervirus" universale. L'urgenza con la quale è stata corretta è quindi assolutamente giustificata.

Aggiornamento (15/4/2005): Come giustamente notano alcuni lettori nei commenti, l'ultimo paragrafo dell'articolo va chiarito: una falla universale consente di creare un "virus" universale nel senso che crea un vettore di attacco valido per tutti i sistemi (un documento Word letto da OpenOffice.org). Tuttavia, per sfruttare questo vettore occorre comunque creare e iniettare codice su misura per ogni specifico sistema operativo; inoltre l'entità del danno possibile dipenderà dai privilegi di esecuzione.