Come parte del suo Patch Day di dicembre, Microsoft ha rilasciato sette bollettini di sicurezza, tre dei quali considerati di livello critico e quattro importante, che affrontano 24 vulnerabilità in Windows, Internet Explorer, Office ed Exchange. Sono interessate tutte le versioni supportate di Windows ad esclusione di XP, il cui supporto è stato sospeso da aprile scorso. Tra gli aggiornamenti anche quello che, all'ultimo momento, non era stato pubblicato in occasione del patch day di novembre. Una vulnerabilità critica in Windows riguarda anche la preview tecnica di Windows 10 e Windows Server Technical Preview. Contestualmente Adobe ha rilasciato 26 aggiornamenti per i suoi prodotti Flash Player e Cold Fusion. Di seguito i bollettini di Microsoft sulla sicurezza di dicembre in ordine di gravità.
• MS14-075 - Alcune vulnerabilità in Microsoft Exchange Server possono consentire l'elevazione di privilegi (3009712). Questo aggiornamento per la protezione risolve quattro vulnerabilità segnalate privatamente a Microsoft Exchange Server. La più grave di queste vulnerabilità può consentire l'elevazione dei privilegi se un utente fa clic su un URL appositamente predisposto che li porta a un sito Outlook Web App mirato. Poiché non è possibile in alcun modo obbligare gli utenti a visitare un sito Web appositamente predisposto. Invece, l'utente malintenzionato dovrebbe convincere le vittime a visitare il sito, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito dell'attaccante, e poi convincerli a fare clic sul'l'URL appositamente predisposto.
• MS14-080 - Aggiornamento cumulativo per la protezione di Internet Explorer (3008923). Questo aggiornamento per la protezione risolve quattordici vulnerabilità segnalate privatamente in Internet Explorer. La più grave di queste vulnerabilità può consentire l'esecuzione di codice in modalità remota se un utente visualizza con Internet Explorer una pagina Web appositamente predisposta. Un utente malintenzionato che riesca a sfruttare queste vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. I clienti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. L'aggiornamento risolve le vulnerabilità modificando il modo in cui Internet Explorer gestisce gli oggetti nella memoria.
• MS14-081 - Alcune vulnerabilità in Microsoft Word e Microsoft Office Web Apps possono consentire l'esecuzione di codice remoto (3017301). Le vulnerabilità possono consentire l'esecuzione di codice in modalità remota se un utente malintenzionato convince un utente ad aprire o visualizzare in anteprima un file di Word appositamente predisposto in una versione interessata di Office. Un utente malintenzionato che riesca a sfruttare le vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. Se l'utente corrente è connesso con privilegi di amministrazione, un utente malintenzionato potrebbe quindi installare programmi; visualizzare, modificare o eliminare dati, o creare nuovi account con diritti utente completi. L'aggiornamento risolve due vulnerabilità correggendo come Word analizza i file di Office appositamente predisposti.
• MS14-082 - Una vulnerabilità in Microsoft Office può consentire l'esecuzione di codice in modalità remota (3017349). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente in Microsoft Office. La vulnerabilità può consentire l'esecuzione di codice in modalità remota se un file appositamente predisposto viene aperto in un'edizione interessata di Microsoft Office. Un utente malintenzionato che riesca a sfruttare questa vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. I clienti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. L'aggiornamento per la protezione risolve la vulnerabilità correggendo il modo in cui Office analizza file appositamente predisposti.
• MS14-083 - Alcune vulnerabilità in Microsoft Excel possono consentire l'esecuzione di codice remoto (3017347). Questo aggiornamento per la protezione risolve due vulnerabilità segnalate privatamente in Microsoft Excel. Le vulnerabilità possono consentire l'esecuzione di codice in modalità remota se un utente malintenzionato convince un utente ad aprire o visualizzare in anteprima un file di Microsoft Excel appositamente predisposto in una versione interessata di software Microsoft Office. Un utente malintenzionato che riesca a sfruttare la vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. Se l'utente corrente è connesso con privilegi di amministrazione, un utente malintenzionato potrebbe quindi installare programmi; visualizzare, modificare o eliminare dati o creare nuovi account con diritti utente completi.
• MS14-084 - Una vulnerabilità nel motore di scrip VBScript può consentire l'esecuzione di codice remoto (3016711). Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente nel motore di script VBScript in Microsoft Windows. La vulnerabilità può consentire l'esecuzione di codice in modalità remota se un utente visita un sito Web appositamente predisposto. Un utente malintenzionato che riesca a sfruttare questa vulnerabilità può ottenere gli stessi diritti utente dell'utente corrente. Se l'utente corrente è connesso con privilegi di amministrazione, un utente malintenzionato che sfrutti questa vulnerabilità può assumere il controllo completo del sistema interessato. Un utente malintenzionato potrebbe quindi installare programmi; visualizzare, modificare o eliminare dati o creare nuovi account con diritti utente completi.
• MS14-085 - Una vulnerabilità in Microsoft Graphics Component può consentire l'intercettazione di informazioni personali (3013126). Questo aggiornamento per la protezione risolve una vulnerabilità divulgata pubblicamente in Microsoft Windows. La vulnerabilità può consentire l'intercettazione di informazioni personali se un utente accede a un sito Web con contenuti JPEG appositamente predisposti. Un utente malintenzionato potrebbe sfruttare questa vulnerabilità per ottenere informazioni sul sistema. La vulnerabilità divulgazione di informazioni di per sé non consente l'esecuzione di codice arbitrario. Tuttavia, un utente malintenzionato potrebbe sfruttare questa vulnerabilità per l'intercettazione di informazioni in combinazione con un'altra vulnerabilità per bypassare le funzioni di sicurezza, come Address Space Layout Randomization (ASLR).
Microsoft ha inoltre reso disponibile un aggiornamento per Adobe Flash Player in Internet Explorer (2755801). Come al solito, le correzioni sono disponibili tramite Windows Update, il che significa che verranno applicate automaticamente per la maggior parte degli utenti. Microsoft consiglia a coloro che hanno disabilitato l'update automatico, di scaricare le patch manualmente e installarle da Windows Update. A corollario, Microsoft ha rilasciato come di consueto una versione aggiornata dello strumento di rimozione malware giunto alla versione 5.19, per consentire l'eliminazione di software dannosi. Si ricorda che questo strumento non sostituisce un prodotto antivirus. Per tutte le ultime informazioni, è possibile seguire il team MSRC su Twitter all'indirizzo @MSFTSecResponse. Il prossimo appuntamento con il patch day è per martedì 13 gennaio 2015.
Nessun commento:
Posta un commento