Microsoft Patch day agosto: 9 aggiornamenti risolvono 37 vulnerabilità

Come parte del suo Patch Day di agosto, Microsoft ha rilasciato nove aggiornamenti che risolvono 37 vulnerabilità. Due dei 9 aggiornamenti sono considerati "critici" mentre i restanti "importanti". I due bug critici interessano Windows, Internet Explorer e Microsoft OneNote. Le vulnerabilità importanti in Windows si riferiscono alle edizioni commerciali e professionali di Windows 7 e Windows 8; l'aggiornamento di IE è per tutte le versioni su tutte le edizioni di Windows supportate. Le altre sette patch considerate importanti si occupano di Windows, Office, Server NET Framework di SQL e SharePoint Server 2013. Di seguito i bollettini sulla sicurezza di agosto in ordine di gravità.

• MS14-051 - Aggiornamento cumulativo della protezione per Internet Explorer (2976627). Questo aggiornamento per la protezione risolve una vulnerabilità divulgata pubblicamente e 25 vulnerabilità segnalate privatamente in Internet Explorer. La più grave di queste vulnerabilità può consentire l'esecuzione di codice in modalità remota se un utente visualizza una pagina Web appositamente predisposta con IE. Un utente malintenzionato che riesca a sfruttare queste vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. I clienti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. 

• MS14-043 - Una vulnerabilità in Windows Media Center potrebbe consentire l'esecuzione di codice in modalità remota (2978742). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft Windows. La vulnerabilità CVE-2014-4060 può consentire l'esecuzione di codice in modalità remota se un utente apre un file di Microsoft Office appositamente predisposto  che richiama le risorse di Windows Media Center. Un utente malintenzionato che sfrutti questa vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. I clienti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. 

• MS14-048 - Una vulnerabilità in OneNote può consentire l'esecuzione codice in modalità remota (2977201). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft OneNote. La vulnerabilità CVE-2014-2815 può consentire l'esecuzione di codice in modalità remota se un file appositamente predisposto viene aperto in una versione interessata di Microsoft OneNote. Un utente malintenzionato che sfrutti questa vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. I clienti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. 

• MS14-044 - Alcune vulnerabilità in SQL Server possono consentire di privilegi più elevati (2984340). Questo aggiornamento per la protezione risolve due vulnerabilità segnalate privatamente in Microsoft SQL Server (uno in SQL Server Master Data Services e l'altro nel sistema di gestione di database relazionale SQL Server). La più grave di queste vulnerabilità, che colpisce SQL Server MDS, può consentire l'acquisizione di privilegi più elevati se un utente visita un sito Web appositamente predisposto che inserisce uno script sul lato client nell'istanza di Internet Explorer dell'utente. Vulnerabilità: CVE-2014-1820 e CVE-2014-4061. 

• MS14-045 - Alcune vulnerabilità nei driver in modalità kernel possono consentire l'acquisizione di privilegi più elevati (2984615). Questo aggiornamento per la protezione risolve tre vulnerabilità segnalate privatamente in Microsoft Windows. La più grave di queste vulnerabilità può consentire l'elevazione dei privilegi se un utente malintenzionato accede al sistema ed esegue un'applicazione appositamente predisposta. Un utente malintenzionato deve disporre di credenziali di accesso valide ed essere in grado di accedere in locale per sfruttare queste vulnerabilità (CVE-2014-0318, CVE-2014-1819, CVE-2014-4064).

• MS14-049 - Una vulnerabilità nel servizio Windows Installer può consentire di privilegi più elevati (2962490). Questo aggiornamento per la protezione risolve una vulnerabilità divulgata privatamente in Microsoft Windows. La vulnerabilità CVE-2014-1814 può consentire l'acquisizione di privilegi più elevati se un utente malintenzionato esegue un'applicazione appositamente predisposta che tenta di riparare un'applicazione precedentemente installata. Un utente malintenzionato deve disporre di credenziali di accesso valide ed essere in grado di accedere in locale per sfruttare questa vulnerabilità. 

• MS14-050 - Una vulnerabilità in Microsoft SharePoint Server può consentire l'acquisizione di privilegi più elevati (2977202). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft SharePoint Server. Un utente malintenzionato autenticato sfruttando questa vulnerabilità può utilizzare una applicazione appositamente predisposta per eseguire JavaScript arbitrario nel contesto dell'utente nel sito di SharePoint corrente. L'aggiornamento per la protezione risolve la vulnerabilità CVE-2014-2816 correggendo il modo in cui SharePoint Server disinfetta le applicazioni appositamente predisposte che utilizzano azioni personalizzate. 

• MS14-046 - Una vulnerabilità in .NET Framework può consentire l'elusione della funzione di protezione (2984625). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft .NET Framework. La vulnerabilità CVE-2014-4062 può consentire l'elusione della funzione di protezione se un utente visita un sito Web appositamente predisposto. In uno scenario di attacco basato sull'esplorazione Web, un utente malintenzionato, sfruttando questa vulnerabilità, potrebbe eludere la funzione di protezione ASLR. L'elusione della funzione di protezione non consente da sola l'esecuzione di codice arbitrario. 

• MS14-047 - Una vulnerabilità in LRPC può consentire l'elusione della funzione di protezione (2978668). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft Windows. La vulnerabilità CVE-2014-0316 può consentire l'elusione della funzione di protezione se un utente malintenzionato utilizza la vulnerabilità in combinazione con un'altra vulnerabilità, come una vulnerabilità legata all'esecuzione di codice in modalità remota, che sfrutta il bypass ASLR per eseguire codice arbitrario. L'aggiornamento per la protezione risolve la vulnerabilità correggendo il modo in cui RPC gestisce la liberazione di messaggi malformati. 

Infine una patch out-of-band è stata rilasciata da Adobe per correggere una falla zero-day in Reader e Acrobat. Microsoft consiglia a coloro che hanno disabilitato l'update automatico, di scaricare le patch manualmente e installarle da Windows Update. A corollario, Microsoft ha rilasciato come di consueto una versione aggiornata dello strumento di rimozione malware giunto alla versione 5.15, per consentire l'eliminazione di software dannosi dai computer che eseguono Windows. Si ricorda che questo strumento non sostituisce un prodotto antivirus. Per tutte le ultime informazioni, è possibile anche seguire il team MSRC su Twitter all'indirizzo @MSFTSecResponse. Il prossimo appuntamento con il patch day è fissato per martedì 9 settembre 2014.