Microsoft Patch day gennaio: 4 aggiornamenti fissano 4 vulnerabilità

Come parte del suo Patch Day di gennaio, Microsoft ha rilasciato 4 bollettini di sicurezza, due dei quali classificati come Critici e due Importanti, per affrontare altrettante vulnerabilità in Microsoft Office, Edge browser, Windows Service Authority Local Security Subsystem (LSASS) e Flash Player. In particolare, Microsoft ha patchato un totale di 16 diverse vulnerabilità, ma solo 3 sono state rilevate nei prodotti della società, mentre i restanti 13 sono nel software di Adobe che è in dotazione nei browser Internet Explorer 10, Internet Explorer 11 e Microsoft Edge. In realtà, il pacchetto di aggiornamenti di sicurezza di questo mese è il più piccolo dopo quello rilasciato da Microsoft a gennaio del 2014.

Le vulnerabilità interessano tutte le versioni di Windows client e server che Microsoft supporta con l'eccezione di Windows 8.1 e Windows Server 2012 R2. Solo di Windows 8.1, Windows 8.1 RT e Windows 10 sono interessati da una vulnerabilità critica sul lato client. L'unico sistema operativo del server affetto da una vulnerabilità critica nominale è Windows Server 2016. La correzione che riguarda Microsoft Office risolve falla in Word 2016 che potrebbe consentire l'esecuzione di codice in modalità remota se un utente apre un file di Office truccato. La patch per Microsoft Edge risolve un problema di elevazione dei privilegi che potrebbe essere sfruttato se un utente visita una pagina web malevola. Di seguito i bollettini sulla sicurezza di gennaio in ordine di gravità.

1. MS17-001 - Aggiornamento della protezione per Microsoft Edge (3199709). Questo aggiornamento per la protezione risolve una vulnerabilità in Microsoft Edge. Questa vulnerabilità potrebbe consentire una elevazione dei privilegise un utente visualizza una pagina Web appositamente predisposta con Microsoft Edge. Un utente malintenzionato che riesca a sfruttare questa vulnerabilità, può ottenere autorizzazioni elevate sulla directory namespace di un sistema vulnerabile e di ottenere l'elevazione dei privilegi. . La vulnerabilità può consentire l'intercettazione di informazioni quando il kernel di Windows gestisce in modo improprio gli oggetti in memoria. L'aggiornamento per la protezione risolve la vulnerabilità correggendo modo in cui il kernel di Windows gestisce gli oggetti in memoria. 

2. MS17-002 - Aggiornamento della protezione per Microsoft Office (3214291). Questo aggiornamento per la protezione risolve una vulnerabilità in Microsoft Office. La vulnerabilità potrebbe consentire l'esecuzione di codice in modalità remota se un utente apre un file di Microsoft Office appositamente predisposto. Un utente malintenzionato che riesca a sfruttare la vulnerabilità potrebbe eseguire codice arbitrario nel contesto dell'utente corrente.  I clienti con account configurati in modo da disporre solo di diritti utente limitati sul sistema potrebbero essere esposti in misura inferiore rispetto a quelli con privilegi di amministrazione. L'aggiornamento per la protezione risolve la vulnerabilità correggendo il modo in cui le versioni interessate di Office e componenti di Office gestiscono gli oggetti in memoria.

3. MS17-003 - Aggiornamento della protezione per Adobe Flash Player (3214628). Questo aggiornamento per la protezione risolve l3 vulnerabilità di Adobe Flash Player installato in tutte le edizioni supportate di Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10 e Windows Server 2016. Questo aggiornamento per la protezione risolve le seguenti vulnerabilità, descritte nel Bollettino sicurezza di Adobe APSB17-02. Adobe Flash Player installato con Microsoft Edge e Internet Explorer 11 per Windows 10 e 8.1 sarà aggiornato automaticamente alla versione più recente, che comprende Adobe Flash Player 24.0.0.194. Visitare la pagina di assistenza nella installazione di Flash Player .

Dettagli delle vulnerabilità: questi aggiornamenti risolvono una vulnerabilità di sicurezza by-pass che potrebbe portare alla divulgazione di informazioni (CVE-2017-2938). Questo aggiornamento risolve 3 vulnerabilità use-after-free che potrebbe provocare l'esecuzione di codice (CVE-2017-2932, CVE-2017-2936, CVE-2017-2937). Questi aggiornamenti risolvono 4 vulnerabilità di heap buffer overflow che potrebbero provocare l'esecuzione di codice (CVE-2017-2927, CVE-2017-2933, CVE-2017-2934, CVE-2017-2935). Questi aggiornamenti risolvono 5 vulnerabilità di corruzione della memoria che potrebbe provocare l'esecuzione di codice (CVE-2017-2925, CVE-2017-2926, CVE-2017-2928, CVE-2017-2930, CVE-2017-2931).

4. MS17-004 - Aggiornamento della protezione per Local Security Authority Subsystem Service (3216771). Una negazione del servizio esiste nel modo in cui il Servizio Local Security Authority Subsystem (LSASS) gestisce le richieste di autenticazione. Un utente malintenzionato che riesca a sfruttare la vulnerabilità potrebbe causare un denial of service sul servizio LSASS del sistema di destinazione, che innesca un riavvio automatico del sistema. Per sfruttare la vulnerabilità un malintenzionato non autenticato potrebbe inviare una richiesta di autenticazione appositamente predisposta. L'aggiornamento per la protezione risolve la vulnerabilità modificando il modo in cui LSASS gestisce le richieste di autenticazione appositamente predisposte.

Oltre agli aggiornamenti di sicurezza, Microsoft ha anche rilasciato nuovi aggiornamenti cumulativi per Windows 10 denominati KB3213986, KB3210720 e KB3210721. Questo è l'ultimo bollettino sulla sicurezza di Microsoft pubblicato in questo formato, come pagine web separate. Nel mese di novembre, Microsoft ha annunciato che andrà in pensione il formato bollettini di sicurezza corrente a favore di un nuovo database ricercabile. Passando a un modello cumulativo, Microsoft porta un'esperienza di manutenzione più coerente e semplificata a Windows 7 SP1 e 8.1, in modo che tutte le versioni supportate di Windows seguano un simile modello di aggiornamento di manutenzione. Il nuovo modello cumulativo fornisce un minor numero di aggiornamenti da gestire, una maggiore prevedibilità e aggiornamenti di qualità superiore.

Il risultato aumenta l'affidabilità del sistema operativo Windows, eliminando la frammentazione degli aggiornamenti e fornendo patch più proattive per problemi noti. da notare che diversi tipi di aggiornamento non sono inclusi in un rollup, come quelli per Servicing Stack e Adobe Flash. Anche il .NET Framework segue il modello mensile cumulativo con una pubblicazione mensile nota come .NET Framework Monthly Rollup. Il .NET Framework mensile cumulativo fornisce aggiornamenti sia di sicurezza e affidabilità a tutte le versioni di .NET Framework come una singola pubblicazione mensile, il targeting ha la stessa tempistica e cadenza di Windows. E' importante notare che il cumulativo per .NET Framework fornisce solo aggiornamenti di sicurezza e di qualità per le versioni di .NET Framework attualmente installati sul computer.

Esso non può aggiornare automaticamente la versione base del .NET Framework installato. Inoltre, il team di .NET Framework rilascia anche un aggiornamento di sicurezza, solo su Microsoft Update Catalog e Windows Server Update Services ogni mese. Microsoft consiglia a coloro che hanno disabilitato l'update automatico, di scaricare le patch manualmente (alcune delle quali richiedono il riavvio del computer) e installarle da Windows Update. A corollario, Microsoft ha rilasciato come di consueto una versione aggiornata dello strumento di rimozione malware giunto alla versione 5.44, per consentire l'eliminazione di software dannosi dai computer che seguono Windows. Si ricorda che questo strumento non sostituisce un prodotto antivirus. Per tutte le ultime informazioni, è possibile seguire il team MSRC su Twitter all'indirizzo @MSFTSecResponse.