Microsoft Patch day maggio, 10 aggiornamenti risolvono 33 vulnerabilità

Microsoft ha rilasciato 10 patch di sicurezza, che consentono di fissare un totale di 33 vulnerabilità. In tutto, due dei bollettini risolvono problemi di sicurezza "critici" mentre i rimanenti  sono "importanti". Il primo dei due bollettini critici riguarda una falla di sicurezza in Internet Explorer (versioni dalla 6 alla 10). Il secondo bollettino di grado critico è riferito ad una vulnerabilità in IE 8 scoperta questo mese. Incluse nelle patch vi sono otto importanti aggiornamenti per Windows, Office, Lync,. NET Framework, e Windows Essentials. Di seguito i bollettini sulla sicurezza di aprile in ordine di gravità.

• MS13-037 - Aggiornamento cumulativo per la protezione di Internet Explorer (2829530). Questo aggiornamento per la protezione risolve undici vulnerabilità segnalate privatamente in Internet Explorer. Le più gravi vulnerabilità possono consentire l'esecuzione di codice in modalità remota se un utente visualizza una pagina Web appositamente predisposta con Internet Explorer. Un utente malintenzionato che riesca a sfruttare la più grave di queste vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione.

Questo aggiornamento per la protezione è considerato di livello critico per Internet Explorer 6, Internet Explorer 7, Internet Explorer 8, Internet Explorer 9 e Internet Explorer 10 su client Windows e di livello moderato per Internet Explorer 6, Internet Explorer 7, Internet Explorer 8, Internet Explorer 9, e Internet Explorer 10 su server Windows. L'aggiornamento per la protezione risolve le vulnerabilità modificando il modo in cui Internet Explorer autorizza l'accesso ai dati di script e gestisce gli oggetti nella memoria. Vulnerabilità: CVE-2013-0811, CVE-2013-1297, CVE-2013-1306, CVE-2013-1307, CVE-2013-1308, CVE-2013-1309, CVE-2013-1310, CVE-2013-1311, CVE-2013-1312, CVE-2013-1313, CVE-2013-2551.

• MS13-038 - Aggiornamento della protezione per Internet Explorer (2847204). Questo aggiornamento per la protezione risolve una vulnerabilità divulgata pubblicamente relativa a Internet Explorer. La vulnerabilità può consentire l'esecuzione di codice in modalità remota se un utente visualizza una pagina Web appositamente predisposta con Internet Explorer. Un utente malintenzionato che sfrutti questa vulnerabilità (CVE-2013-1347) può ottenere gli stessi diritti utente dell'utente corrente. 

Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. Questo aggiornamento per la protezione è considerato di livello critico per Internet Explorer 8 su client Windows e di livello moderato per Internet Explorer 8 sui server Windows. Questo aggiornamento della protezione non ha alcun livello di gravità di Internet Explorer 9.

Priorità degli aggiornamenti

• MS13-039 - Una vulnerabilità in HTTP.sys può consentire attacchi di tipo Denial of Service (2829254). Questo aggiornamento importante per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft Windows. La vulnerabilità (CVE-2013-1305) può consentire un attacco Denial of Service se un utente malintenzionato invia un pacchetto HTTP appositamente predisposta a un server Windows interessato o il client. 

• MS13-040 - Alcune vulnerabilità in. NET Framework possono consentire attacchi di spoofing (2836440). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente (CVE-2013-1336) e una vulnerabilità divulgata pubblicamente (CVE-2013-1337) in .NET Framework. La più grave delle vulnerabilità può consentire lo spoofing se un applicazione. NET riceve un file XML appositamente predisposto. 

Un utente malintenzionato che riesca a sfruttare la vulnerabilità potrebbe modificare il contenuto di un file XML senza invalidare la firma del file e potrebbe ottenere l'accesso alle funzioni di endpoint, come se si trattasse di un utente autenticato. Questo aggiornamento per la protezione è considerato di livello importante per Microsoft. NET Framework 2.0 Service Pack 2, Microsoft. NET Framework 3.5, Microsoft. NET Framework 3.5.1, Microsoft. NET Framework 4, e Microsoft. NET Framework 4.5 su edizioni interessate di Microsoft Windows.

• MS13-041 - Una vulnerabilità in Lync può consentire l'esecuzione di codice remoto (2834695). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente a Microsoft Lync. La vulnerabilità (CVE-2013-1302) può consentire l'esecuzione di codice in modalità remota se un utente malintenzionato azioni appositamente predisposto contenuto, ad esempio un file o un programma, come una presentazione in Lync o Communicator e poi convince un utente ad accettare un invito a visualizzare o condividere il contenuto presentabile. 

In tutti i casi, l'utente malintenzionato dovrebbe obbligare in qualche modo gli utenti a visualizzare o condividere il file o programma controllato dall'utente malintenzionato. Piuttosto, l'utente malintenzionato dovrebbe convincere gli utenti ad agire, in genere inducendole ad accettare un invito in Lync o Communicator per vedere o condividere il contenuto presentabile. Questo aggiornamento per la protezione è considerato di livello importante per le edizioni supportate di Microsoft Communicator 2007 R2, Microsoft Lync 2010, Microsoft Lync 2010 Attendee, e Microsoft Lync Server 2013. 

• MS13-042 - Alcune vulnerabilità in Microsoft Publisher possono consentire l'esecuzione codice in modalità remota (2830397). Questo aggiornamento per la protezione risolve undici vulnerabilità segnalate privatamente in Microsoft Office. Le vulnerabilità possono consentire l'esecuzione di codice in modalità remota se un utente apre un file Publisher appositamente predisposto con una versione interessata di Microsoft Publisher. Un utente malintenzionato che sfrutti questa vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. 

Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. Questo aggiornamento per la protezione è considerato di livello importante per le edizioni supportate di Microsoft Publisher 2003, Microsoft Publisher 2007 e Microsoft Publisher 2010. Vulnerabilità: CVE-2013-1316, CVE-2013-1317, CVE-2013-1318, CVE-2013-1319, CVE-2013-1320, CVE-2013-1321, CVE-2013-1322, CVE-2013-1323, CVE-2013-1327, CVE-2013-1328, CVE-2013-1329.

• MS13-043 - Una vulnerabilità in Microsoft Word può consentire l'esecuzione di codice in modalità remota (2830399). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft Office. La vulnerabilità (CVE-2013-1335) può consentire l'esecuzione di codice se un utente apre un file appositamente predisposto o anteprime di un messaggio di posta elettronica appositamente predisposto in una versione interessata di Microsoft Office. 

Un utente malintenzionato che sfrutti questa vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. Questo aggiornamento per la protezione è considerato di livello importante per le edizioni supportate di Microsoft Word 2003 e Microsoft Word Viewer.

Aggregato di rischio e indice sfruttabilità

• MS13-044 - Una vulnerabilità in Microsoft Visio può consentire l'intercettazione di informazioni personali (2834692). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft Office. La vulnerabilità (CVE-2013-1301) può consentire l'intercettazione di informazioni personali se un utente apre un file Visio appositamente predisposto. 

Si noti che questa vulnerabilità non consente a un utente malintenzionato di eseguire codice o di elevare direttamente diritti utente, ma può essere usato per produrre le informazioni che potrebbero essere utilizzati al fine di compromettere ulteriormente un sistema interessato. Questo aggiornamento per la protezione è considerato di livello importante per tutte le edizioni supportate di Microsoft Visio 2003, Microsoft Visio 2007 e Microsoft Visio 2010. L'aggiornamento per la protezione risolve la vulnerabilità correggendo il modo in cui il parser XML utilizzato da Visio risolve entità esterne all'interno di un file appositamente predisposto.

• MS13-045 - Una vulnerabilità in Windows Essentials può consentire l'intercettazione di informazioni personali (2813707). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Essentials di Windows. La vulnerabilità (CVE-2013-0096) può consentire l'intercettazione di informazioni personali se un utente apre Windows Writer utilizzando un URL appositamente predisposto. Un utente malintenzionato che riesca a sfruttare la vulnerabilità potrebbe ignorare le impostazioni proxy Writer Windows e sovrascrivere i file accessibili per l'utente sul sistema di destinazione. 

In uno scenario di attacco basato sul Web, un sito Web potrebbe contenere un collegamento appositamente predisposto per sfruttare questa vulnerabilità. Un utente malintenzionato dovrebbe convincere gli utenti a visitare il sito e aprire il collegamento appositamente predisposto. Questo aggiornamento per la protezione è considerato di livello importante per Windows Writer installato in tutte le edizioni supportate di Microsoft Windows. L'aggiornamento per la protezione risolve la vulnerabilità correggendo il modo in cui Windows gestisce i parametri URL di Writer. 

• MS13-046 - Vulnerabilità nei driver in modalità kernel possono consentire l'acquisizione di privilegi più elevati (2840221). Questo aggiornamento per la protezione risolve tre vulnerabilità segnalate privatamente in Microsoft Windows. Le vulnerabilità (CVE-2013-1332, CVE-2013-1333, CVE-2013-1334) possono consentire l'elevazione dei privilegi se un utente malintenzionato accede al sistema ed esegue un'applicazione appositamente predisposta.

Un utente malintenzionato deve disporre di credenziali di accesso valide ed essere in grado di accedere in locale a sfruttare queste vulnerabilità. Questo aggiornamento per la protezione è considerato di livello importante per tutte le edizioni supportate di Windows XP, Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, e Windows RT. 

Microsoft consiglia a coloro che hanno disabilitato l'update automatico, di scaricare le patch manualmente e installarle da Windows Update. A corollario, Microsoft ha rilasciato come di consueto una versione aggiornata dello strumento di rimozione malware giunto alla versione 4.20, per consentire l'eliminazione di software dannosi dai computer che eseguono Windows 8, Windows 7, Windows Vista, Windows Server 2003, Windows Server 2008 o Windows XP. Il prossimo appuntamento con il patch day è per martedì 11 giugno 2013.

Crediti Immagini: Blog Technet