Da Windows a Office a SharePoint, sono molti i prodotti Microsoft oggetto di update di sicurezza. Tre patch state classificate come “critiche”.
Il “patch day” di Microsoft per il mese di giugno è davvero molto “pesante”. Il colosso di Redmond ha infatti messo a disposizione degli utenti e degli amministratori di sistema dieci aggiornamenti di sicurezza.
– Alcune vulnerabilità nei driver kernel-mode di Windows potrebbero agevolare l’acquisizione di privilegi utente più elevati (MS10-032). Questo aggiornamento di sicurezza consente di sanare una lacuna presente in tutte le versioni di Windows. In assenza della patch gli aggressori potrebbero riuscire ad acquisire privilegi utente più elevati inducendo la vittima a visitare un contenuto prodotto con una fonte di carattere TrueType modificata “ad arte”. Patch indicata come “importante”.
– Alcune vulnerabilità nell’algoritmo di decompressione usato da Windows potrebbero facilitare l’esecuzione di codice dannoso (MS10-033). La falla sanabile mediante l’installazione di questo aggiornamento consente di scongiurare il pericolo derivante dall’apertura di flussi e contenuti multimediali prodotti da un malintenzionato con l’intento di sfruttare la lacuna di sicurezza. Il problema è presente all’interno della libreria quartz.dll, in tutte le versioni di Windows. Patch di importanza “critica”.
– Aggiornamento cumulativo dei “kill bits” ActiveX (MS10-034). Questa patch consente di aggiornare i “kill bits” per gli ActiveX potenzialmente pericolosi. Si chiama “kill bit” una speciale funzionalità di protezione che consente di impedire il caricamento di un controllo ActiveX da parte del motore di rendering HTML di Internet Explorer. Per questo scopo, viene introdotto, nel registro di Windows, un apposito valore. Se il “kill bit” è attivo, il controllo non può essere caricato, anche se è installato sul sistema in uso. L’impostazione del kill bit garantisce che, anche se nel sistema viene installato o reinstallato un componente affetto dalla vulnerabilità, quest’ultimo rimane inattivo e, pertanto, del tutto innocuo. L’aggiornamento di Microsoft fa sì che il caricamento di alcuni ActiveX vulnerabili, sviluppati di terze parti, venga impedito. Patch “critica”.
– Aggiornamento cumulativo per Internet Explorer (MS10-035). Questo pacchetto di aggiornamento per Internet Explorer 5.01, 6.0, 7.0 e 8.0, risolve cinque vulnerabilità di sicurezza presenti nel browser del colosso di Redmond. L’applicazione della patch è sempre caldamente consigliata, anche qualora non si utilizzi Internet Explorer per la “navigazione” in Rete. I rischi sono correlati al download ed all’esecuzione di codice e componenti nocivi visitando pagine web “maligne”. Patch “critica”.
– Una vulnerabilità nella validazione COM in Microsoft Office potrebbe agevolare l’esecuzione di codice in modalità remota (MS10-036). La falla corretta mediante il rilascio di questa patch potrebbe essere sfruttata da malintenzionati per eseguire codice nocivo sul sistema dell’utente inducendo quest’ultimo ad aprire un documento Word, Excel, Visio, Publisher o PowerPoint modificato “ad arte”. Sulla vulnerabilità non può essere fatto leva, in modo automatico, al momento dell’apertura di un’e-mail che contenga un allegato dannoso: l’utente dovrebbe infatti necessariamente fare doppio clic su tale file. Patch “importante”.
– Una vulnerabilità nel driver per la gestione del formato OpenType Compact (CFF) può consentire l’acquisizione di privilegi utente più elevati (MS10-037). L’aggiornamento di sicurezza consente di sanare una lacuna presente nel driver che si fa carico della gestione delle fonti OpenType Compact. Un malintenzionato potrebbe acquisire privilegi più elevati nel momento in cui dovesse riuscire ad indurre l’utente a visitare un contenuto che fa impiego di una font CFF modificata. Affette dal problema sotto tutte le versioni di Windows. Patch “importante”.
– Una vulnerabilità in Excel può portare all’esecuzione di codice da remoto (MS10-038). Questo aggiornamento risolve ben quattordici falle individuate in Microsoft Excel la più grave delle quali può essere sfruttata da un aggressore per eseguire codice dannoso sul sistema dell’utente. Per arrivare a tale obiettivo, l’utente dovrebbe aprire un foglio elettronico Excel “maligno”. Patch “importante”.
– Alcune vulnerabilità in SharePoint potrebbero facilitare l’acquisizione di privilegi più elevati (MS10-039). Questo aggiornamento risolve complessivamente tre falle presenti in Microsoft SharePoint la più grave delle quali potrebbe consentire ad un aggressore di guadagnare privilegi utente più elevati allorquando dovesse riuscire a far aprire all’utente un link SharePoint dannoso. Patch “importante”.
– Una vulnerabilità in IIS potrebbe consentire l’esecuzione di codice dannoso in modalità remota (MS10-040). La patch consente di porre una pezza su un “buco” di sicurezza presente in “Internet Information Services” (IIS) 6.0, 7.0 e 7.5. Nel caso in cui l’aggiornamento non dovesse essere applicato, potrebbe venire eseguito codice maligno nel caso in cui la macchina dovesse ricevere una richiesta HTTP “malformata”. Patch “importante”.
– Una vulnerabilità nel .Net framework potrebbe facilitare la falsificazione dei dati (MS10-041). L’aggiornamento permette di risolvere una lacuna scoperta in molte versioni del framework .Net di Microsoft. Essa potrebbe essere sfruttata da un malintenzionato per falsificare contenuti XML firmati senza che l’intervento possa essere rilevato. Gli scenari in cui i messaggi XML sono trasmessi attraverso un canale di comunicazione sicuro (i.e. SSL) non sono interessati dalla problematica. Potrebbero essere installate varie versioni di questa patch nel caso in cui, sul sistema, venisse rilevata la presenza di più “release” differenti dei pacchetti .Net framework (1.1, 2.0, 3.5). Patch “importante”.
A corollario del “patch day” odierno, come consuetudine, Microsoft ha rilasciato anche un nuovo aggiornamento per il suo Strumento di rimozione malware giunto alla versione 3.8.
Il prossimo appuntamento con il “patch day” di Microsoft è fissato per martedì 13 luglio.
