Da qualche ora è disponibile per il download Firefox 2.0.0.5: questa versione risolve il bug emerso nei giorni scorsi relativo all’URI protocol handling.

Da subito si è parlato di un bug di Firefox e non di Internet Explorer: ma ne siamo così sicuri? A quanto pare il bug in questione affligge un numero imprecisato di applicazioni Windows: qui c’è un POC (Proof of Concept) per Trillian, ma non si tratta di un caso isolato:

I can still automatically launch a wide range of external applications from Internet Explorer and provide them with arbitrary command line arguments. AcroRd32.exe (Adobe Acrobat PDF Reader), aim.exe (AOL Instant Messenger), Outlook.exe, msimn.exe (Outlook Express), netmeeting.exe, HelpCtr.exe (Windows Help Center), mirc.exe, Skype.exe, wab.exe (Windows Address Book) and wmplayer.exe (Windows Media Player) - just to name a few.

Scrive Window Snyder:

This patch for Firefox prevents Firefox from accepting bad data from Internet Explorer. It does not fix the critical vulnerability in Internet Explorer. Microsoft needs to patch Internet Explorer, but at last check, they were not planning to. Mark Griesi is quoted in Infoworld saying “We don’t feel that there’s an issue in IE, and therefore, there’s nothing to be fixed.”

In altre parole: noi ci abbiamo messo una pezza, ma il problema non è di Firefox quanto di Internet Explorer. Naturalmente in Microsoft non la pensano allo stesso modo: “Non pensiamo che questo sia un problema di IE, perciò non c’è nulla da sistemare.”

Da IEBlog:

The limitless variety of applications and their unique capabilities make it very difficult to have any meaningful automated parameter validation by the hosting (caller) application. It is the responsibility of the receiving (called) application to make sure it can safely process the incoming parameters.

La colpa è di chi riceve la chiamata (Firefox), non di chi la passa (Internet Explorer): troppo complicato gestire il problema a monte.

Dalle parti di Mozilla la pensano in modo diverso:

At Mozilla, we were able to address the biggest part of this problem in Firefox ages ago by simply escaping quotes in URLs before handing them off.

When you’re surfing the web in Firefox and a website wants to send an address to some other application like AIM or Skype or Acrobat Reader, Firefox packages up that address before handing it off to another application. We think it’s Firefox’s job to ensure that users are protected from malicious websites when they’re surfing the web in Firefox. Apparently Microsoft doesn’t think the same for IE.

Saying it’s too hard is not a justification for failing to take even the bare minimum steps to protect users. Microsoft needs to reconsider here and do what’s right for the millions of IE users at risk instead of trying to shift the responsibility to “limitless variety of applications” that users have installed.

Making good software is hard. Making good software secure can be even harder. At Mozilla, we vigorously take up that challenge. We don’t use it as an excuse for inaction.

In sostanza: pensiamo che sia compito di Firefox garantire una navigazione sicura agli utenti che navigano usando Firefox. Come dargli torto?

Stasera ho acceso il notebook per registrare un po’ di contabilità e ho notato immediatamente uno strano rallentamento del sistema : è bastata una rapida occhiata al task manager per scoprire un processo svchost.exe fisso al 100%. A questo punto ho provato a dare un’occhiata con Process Explorer ed ho scoperto che quell’istanza di svchost.exe era collegata ad almeno una decina di servizi di sistema (il solito fortunello…).

Una ricerca su Internet mi ha fatto arrivare alla KB916089, in cui si scopre che il problema è causato dall’accoppiata Windows Update/Microsoft Update: “When you run Windows Update to scan for updates that use Windows Installer, including Office updates, CPU utilization may reach 100 percent for prolonged periods”.

Siccome la patch iniziale (KB916089) creava problemi risolti con una contropatch (KB927891) decisamente “fresca” (10 maggio), per il momento ho preferito la strada meno rischiosa: ho aperto Windows Update e disattivato Microsoft Update. In questo modo non riceverò gli aggiornamenti di Office ma almeno il notebook non prenderà il volo a forza di far girare la ventola.

Se ricevete una segnalazione di errore con questo titolo, la causa è della KB 925902 installata in questi giorni attraverso gli aggiornamenti automatici (il file in questione è legato alla scheda audio).

La DLL user32.dll del sistema è stata rilocata in memoria. L’applicazione non sarà eseguita correttamente. La DLL c:\windows\system32\HHCTRL.OCX è stata rilocata poiché occupava uno spazio di indirizzamento riservato a una delle DLL del sistema di Windows. Contattare il fornitore della DLL per ottenere una nuova DLL.

Soluzione: scaricare ed installare la patch KB 935448.

Ultimamente la Waggener Edstrom, agenzia che cura le pubbliche relazioni di casa Microsoft, per errore ha inviato ad un giornalista di Wired un dossier relativo al medesimo giornalista (Fred Vogelstein).

Il dossier in questione contiene frasi del tipo “Ci mette un po’ ad arrivare al punto per cui bisogna avere pazienza”, ma quello che più infastidisce il reporter è:

Indeed, if you read the memo closely it’s clear that my experience with Microsoft on this story was their end game. For something like six months prior they had been plotting to get Wired to write a story about Channel 9 and had dispatched three executives to meet with editors at the magazine in hopes of setting their hook.

In sostanza: secondo il giornalista leggendo il dossier è chiaro che Microsoft ha agito per ben sei mesi in modo da far pubblicare a Wired un articolo sul progetto Channel 9.

Ironia della sorte: il progetto Channel 9 viene descritto da Vogelstein come “la prima linea della trasparenza”.

When five Microsoft guys started posting internal videos for the world to see, many at the famously secretive company freaked. And that was before thousands of in-house bloggers took to their keyboards. A dispatch from the front lines of transparency.

È evidente che i noti problemi di Microsoft con i memorandum confidenziali sono contagiosi

Interessante anche la risposta di Frank Shaw, presidente dell’agenzia pubblicitaria spara-dossier:

Seriously, in this case, the interests of a journalist and PR are totally aligned – a great interview is always the best possible outcome.

Tradotto ai minimi termini: interesse del giornalista è fare un bel marchettone