Microsoft ha rilasciato 18 patch in quello che va considerato ad ogni effetto come il patch day più corposo mai vissuto dagli utenti utilizzanti prodotti della società. Inutile sottolineare l’importanza di un aggiornamento immediato, facilmente ottenibile tramite il semplice controllo automatico dell’utility Microsoft Update. In totale si tratta di 18 nuovi aggiornamenti mirati a correggere ben 49 vulnerabilità in Windows, Internet Explorer, Office e software Microsoft per il comparto server. Gli aggiornamenti dovrebbero aver permesso anche di chiudere le "porte" che permettevano al malware Stuxnet di colpire i sistemi Windows.
Nel bollettino riassuntivo figurano quattro patch critiche, undici patch importanti e tre aggiornamenti etichettati come "moderati". Gli aggiornamenti riguardano in particolare Windows XP, Vista, Windows 7, Windows Server 2003 e 2008, Microsoft Office XP Service Pack 3, Office 2003 Service Pack 3, Office 2007 Service Pack 2, Office 2010, Office 2004 per Mac e 2008 per Mac, Windows SharePoint Services 3.0, Share Point Foundation 2010, SharePoint Server 2007, Groove Server 2010, e Office Web Apps.
Il software più ricco di bug è risultato ancora una volta Internet Explorer. Altre patch importanti hanno riguardato, tra l’altro, l’Embedded Open Type Font Engine, un “motore” di Microsoft Windows che gestice i font di caratteri incorporati nel sistema operativo, dove un bug davvero grave avrebbe potuto consentire ad un malintenzionato di prendere il controllo totale della macchina dell’utente.
Nello specifico, il correttivo MS10-071 è mirato a sanare ben 10 vulnerabilità emerse in tutte le versioni supportate di Internet Explorer, dalla versione 6 fino al più recente Internet Explorer 8. La gravità dell'aggiornamento è elevata per tutte le installazioni client, "importante" per quanto riguarda le installazioni server.
Di particolare rilievo la patch MS10-076, relativa ad una vulnerabilità nell'Embedded OpenType (EOT) Font Engine di Windows, che impedisce ad utenti malintenzionati di prendere pieno controllo dei sistemi, installare in essi nuovi software o ottenere i diritti per creare nuovi account. Gli altri aggiornamenti critici cono etichettati come MS10-077 e MS10-075, indirizzati rispettivamente ad una falla nel .Net Framework (sistemi a 64 bit), e ad una vulnerabilità nel Microsoft Windows Media Player Network Sharing, utilizzato da Windows per condividere file musicali e altri media sulla rete.
Infine, si segnala la patch MS10-073 relativa ad alcune vulnerabilità in Windows utilizzate dal famigerato worm Stuxnet. I sistemi operativi Microsoft interessati dalle patch sono i vari Windows XP SP3, XP Professional x64 SP2, Windows Server 2003 (x64) SP2, Windows Vista (x64) SP1/SP2, Windows Server 2008 e Windows 7.
Wolfgang Kandek, CTO di Qualys, osserva in un post sul blog che il bollettino di sicurezza MS10-071, dedicato alle falle in Internet Explorer, è la più urgente. “Si tratta di un update critico per Internet Explorer 6, 7 e 8 a rischio exploit” spiega Qalys. Symantec Security Response nota che 35 delle 49 vulnerabilità sono a rischio di esecuzione di codice da remoto e che una delle due vulnerabilità zero-day sfruttate dal misterioso worm Stuxnet è stata risolta. Il precedente record era quello del mese di agosto, quando il gruppo risolse 39 vulnerabilità in un solo giorno. Con i 18 bollettini rilascio il gruppo giunge a 88 patch per l’anno in corso. Via: Pmi
Nessun commento:
Posta un commento