Nella giornata di lunedì 23 novembre Opera Software ha rilasciato una nuova versione del noto browser.
L’ultima release ovvero Opera 10.10, codename “Opera Unite”, corregge una importante vulnerabilità che esponeva gli utenti a potenziali attacchi, con rischio di compromissione del sistema stesso.
La falla risolta con questo rilascio, e classificata nella knowledge base come “extremely severe”, riguarda un problema noto da quasi sei mesi che coinvolge la funzionalità di conversione di stringhe in numeri.
Attraverso del codice JavaScript contenuto in una pagina Web è possibile causare la chiusura o il blocco di Opera, mentre nei casi più gravi il crash del programma può comportare l’esecuzione di codice di cui è stata fatta l’injection.
Il problema è direttamente collegato al bug della funzione “gdtoa()”, originariamente individuato dall’esperto di sicurezza Maksymilian Arciemowicz nell’implementazione NetBSD lo scorso giugno e riportato nella segnalazione CVE-2009-0689.
Col passare del tempo è emerso che svariate implementazioni della funzione “dtoa()” soffrivano della stessa vulnerabilità, incluse quelle di OpenBSD, FreeBSD e Mac OS X.
La stessa tipologia di falla è stata corretta anche in Chrome, Firefox, e SeaMonkey.
Anche K-Meleon 1.5.3, il browser leggero basato sulle librerie KDE 4.3.3, soffre del medesimo problema.
