Opera, grave bug nel momento meno opportuno

Opera Software deve fare i conti con una imprevisto inciampo che va a minare gli sforzi che il gruppo sta compiendo per spingere il proprio software sulla scia del momento fortunato reso possibile dal Ballot Screen. Una grave vulnerabilità, infatti, è stata segnalata nel browser mettendo pertanto in teorico pericolo tutti coloro i quali nella finestra di scelta imposta da Windows Update sceglieranno l’alternativa “Opera”.

Il Ballot Screen (o meglio, in base alla definizione relativa alla versione italiana dello strumento, “Choice Screen“) è stato pensato per differenziare maggiormente il mercato dei browser, togliendo il traino di Windows ad Internet Explorer ed offrendo maggiori opportunità ai browser concorrenti. Tra le prima contestazioni contro la monocultura di IE v’è la forte esposizione ai bug che il monopolio determina, con gravi conseguenze per l’intera utenza coinvolta. Per questo la vulnerabilità in Opera è un inciampo oltremodo sfortunato: perchè proviene dal gruppo che ha portato al ballot screen, perchè incide sul browser che per primo si è felicitato per l’aumento dei download dovuto al ballot screen, perchè inerente proprio uno dei fattori più contestati al browser dominante: le vulnerabilità.

Il bug è stato scoperto da Marcin Ressel ed è stato verificato anche nell’ultima versione del browser, quell’Opera 10.50 rilasciato da pochi giorni in concomitanza con la finestra di scelta che la Commissione Europea ha imposto a Windows XP, Windows Vista e Windows 7. La vulnerabilità permette ad un eventuale malintenzionato l’attacco remoto tramite buffer overflow che apre all’esecuzione di codice arbitrario mediante semplice visita su di una pagina web appositamente sviluppata.

La vulnerabilità è descritta da Vupen Security come «critica» («highly critical» per Secunia), ma l’exploit sarebbe particolarmente difficile da utilizzarsi. Inoltre l’attivazione della DEP (Data Execution Prevention) ridurrebbe l’esposizione al pericolo, mitigando così il problema. Secco, però, il consiglio ISC: meglio non utilizzare il browser almeno fintanto che il bug rimarrà una minaccia viva.

Da parte di Opera non sono stati rilasciati al momento aggiornamenti relativi al problema indicato, ma è a questo punto prevedibile il rilascio sollecito di una versione 10.51 che risolva il bug e tolga l’imbarazzo dettato dalla concomitanza tra vulnerabilità e l’aumentata esposizione dovuta al Ballot Screen. In questo impiccio Opera non è comunque sola: Internet Explorer soffre di vulnerabilità note (con exploit pubblico) che nemmeno il prossimo patch day di Martedì 9 Marzo risolverà.