Microsoft Patch Day di gennaio: sette aggiornamenti correggono 12 bug

In occasione del primo patch day dell'anno 2013, Microsoft ha distribuito 7 nuove correzioni di sicurezza: di queste, due sono indicate come "critiche" e cinque "importanti". Come pubblicato nella notifica preventiva di sicurezza, gli aggiornamenti di sicurezza sono destinati alla risoluzione di dodici bug presenti in Windows, nel .NET Framework, nel pacchetto Office, nelle applicazioni server del sistema operativo ed in alcuni strumenti per lo sviluppo. Cinque dei sette aggiornamenti riguardano il recente sistema operativo Windows 8.

Microsoft rilascia un Fix it per patchare vulnerabilità in Internet Explorer

Microsoft ha spinto fuori una soluzione temporanea per difendersi da un vulnerabilità zero-day che è emersa negli attacchi lanciati la scorsa settimana. Microsoft sta studiando le relazioni pubbliche di una vulnerabilità in Internet Explorer 6, Internet Explorer 7 e Internet Explorer 8. Internet Explorer 9 e Internet Explorer 10 non sono interessati dalla vulnerabilità. Microsoft è a conoscenza di attacchi mirati che tentano di sfruttare la vulnerabilità tramite Internet Explorer 8.

Vulnerabilità kernel, Microsoft pubblica un workaround contro Duqu

Microsoft ha pubblicato un advisory di sicurezza (2639658) con il quale annuncia la disponibilità di un workaround per affrontare temporaneamente la recente vulnerabilità del kernel Windows (CVE-2011-3402), sfruttata dal malware Duqu e rivelata da Symantec. "Microsoft sta studiando una vulnerabilità in un componente di Microsoft Windows, presente nel motore di analisi dei fonti di carattere TrueType Win 32k. Un utente malintenzionato che sfrutti questa vulnerabilità potrebbe eseguire codice arbitrario in modalità kernel. L'utente malintenzionato potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi". 

"Siamo consapevoli di attacchi mirati che tentano di utilizzare la vulnerabilità segnalata, in generale, vediamo basso impatto clienti in questo momento. Questa vulnerabilità è legata al malware Duqu. Al termine di questa indagine, Microsoft intraprenderà le azioni appropriate per proteggere i nostri clienti. Questo può includere un aggiornamento di sicurezza attraverso il nostro processo di rilascio mensile oppure un out-of-cycle di aggiornamento della protezione, a seconda delle esigenze del cliente. Stiamo lavorando attivamente con i partner nel nostro Microsoft Active Protections Program (MAPP) per fornire informazioni che possano fornire più ampie tutele ai clienti", si legge nel comunicato di Microsoft pubblicato giovedì 3 novembre.

Vista la pericolosità della minaccia, Microsoft ha deciso di pubblicare un aggiornamento temporaneo, in attesa del rilascio di una patch "definitiva", vale a dire un fix che consente di disabilitare l’accesso alla libreria vulnerabile (T2EMBED.DLL) e risolvere temporaneamente il problema. "Oggi è stato rilasciato il Security Advisory 2639568 per fornire una guida ai clienti per il rilascio del kernel di Windows relative a malware Duqu. Desidero fornire informazioni su come proteggere il vostro sistema, come stiamo affrontando la questione, e la nostra capacità di monitorare e comprendere il panorama delle minacce. Il testo del documento fornisce una soluzione che può essere applicata a qualsiasi sistema Windows. 

Per rendere più facile l'installazione ai clienti, abbiamo rilasciato un Fix it che permetterà la soluzione con un solo clic e un modo semplice di implementazione per le imprese. Per proteggere ulteriormente i clienti, abbiamo fornito i nostri partner nel Microsoft Active Protections Program (MAPP) di informazioni dettagliate su come costruire il rilevamento per i loro prodotti di sicurezza. Ciò significa che entro poche ore, le aziende anti-malware lanceranno le nuove firme per rilevare e bloccare i tentativi di sfruttamento di questa vulnerabilità. Perciò incoraggiamo i clienti di assicurarsi che il proprio software antivirus sia aggiornato", scrive Jerry Bryant, responsabile delle comunicazioni di Microsoft TechNet.

Il Fix It è disponibile a questa pagina del supporto tecnico di Mircrosft ed è scaricabile cliccando direttamente qui. Il team di progettazione di Redmond  ha determinato la causa principale di questa vulnerabilità, e sta lavorando per produrre un aggiornamento della protezione per affrontarla.  Microsoft sottolinea che la vulnerabilità non può essere sfruttata automaticamente attraverso una email, ma solo se l’utente esegue un allegato Word. Microsoft ha in programma di rilasciare l'aggiornamento della protezione tramite il processo di sicurezza elettronica, anche se non è certo se sarà pronto nel rilascio dei bollettini di questo mese. 

Come ha affermato da Microsoft in precedenza, il rischio per i clienti rimane basso. Tuttavia, la società invita gli utenti ad applicare la soluzione alternativa e di tenere aggiornata la propria soluzione anti-virus, per assicurare protezione per questo problema. Gli amministratori di rete possono installare l'aggiornamento su quei sistemi che sono più a rischio oppure che contengono dati sensibili adottando così una misura cautelativa prima del rilascio della patch ufficiale.

Nuova grave vulnerabilità Zero-day in Windows rendering MHTML

Microsoft ha appena rilasciato il Security Advisory 2501696 riconoscendo una nuova falla zero-day in tutte le attuali versioni di Windows (ad eccezione di Server Core). La falla sembra consentire a delle pagine web predisposte l'esecuzione di codice dannoso, in ogni "zona" a prescindere dalla zona specificata. Tutte le applicazioni che utilizzano il rendering HTML di Microsoft possono essere attaccate, inclusi Internet Explorer. Non sarebbero interessati Outlook, Outlook Express e Windows Mail.

Microsoft sta studiando nuove segnalazioni pubbliche di una vulnerabilità in tutte le edizioni supportate di Microsoft Windows. La vulnerabilità potrebbe consentire a un utente malintenzionato di causare a una vittima l'esecuzione di script dannosi quando vengono visitati vari siti Web, con conseguente divulgazione di informazioni. Tale impatto è simile a quello delle vulnerabilità server-side cross-site scripting (XSS). Microsoft è a conoscenza del codice proof-of-concept pubblicato che tenta di sfruttare questa vulnerabilità. Al momento, Microsoft non ha visto alcuna indicazione di sfruttamento attivo della vulnerabilità. La vulnerabilità è dovuta al modo in cui MHTML interpreta le richieste in formato MIME (Multipurpose Internet Mail Extensions) per i blocchi di contenuto all'interno di un documento. E 'possibile, a determinate condizioni per questa vulnerabilità consentire a un aggressore di iniettare uno script lato client nella risposta di una richiesta Web eseguite nel contesto della vittima in Internet Explorer. Lo script potrebbe avvenire con spoofing (falsificazione) di contenuti, fornire dati, o fare qualsiasi azione che l'utente compie sul sito Web interessato a nome degli utenti obiettivo. Microsoft sta lavorando attivamente con i partner nel suo Microsoft Active Protections Program (MAPP) per fornire informazioni che possono utilizzare per fornire più ampie tutele per i clienti. La vulnerabilità descritta in questo advisory, non interessa le edizioni supportate di Windows Server 2008 o Windows Server 2008 R2 come indicato, se installata l'opzione di installazione di Server core. Microsoft sta collaborando con i fornitori dei servizi per trovare soluzioni server-side, ma si consiglia di applicare una o più delle soluzioni alternative sul lato client fornite nella sezione Azioni consigliate da questo advisory per bloccare i potenziali vettori di attacco, indipendentemente dal servizio. Al termine di questa indagine, Microsoft intraprenderà l'azione appropriata per contribuire a proteggere i suoi clienti. Questo può includere un aggiornamento di sicurezza attraverso il suo processo di rilascio mensile oppure un aggiornamento out-of-cycle della protezione, a seconda delle esigenze del cliente.

Vi è dunque prova della vulnerabilità e sembra essere solo una questione di tempo prima di vedere i criminali che cercheranno di sfruttare questo difetto. Per gli utenti, o le aziende che gestiscono solo un numero limitato di computer, Microsoft ha fornito una correzione, strumento che permette di applicare alle proprie impostazioni consigliate senza dover utilizzare le impostazioni per i Group Policy Objects (GPO, criteri di gruppo) o dover modificare manualmente le chiavi di registro. Per ulteriori informazioni su questa opzione di installazione, vedere gli articoli TechNet, Gestione di un Core installazione server e Manutenzione di un Core installazione server. Si noti che l'opzione di installazione Server Core non è disponibile per alcune edizioni di Windows Server 2008 e Windows Server 2008 R2, vedere Confronta Opzioni di installazione Server Core. Le soluzioni Fixit descritte da Microsoft in questa sezione non è destinata ad essere un sostituzione per ogni aggiornamento della protezione. Si consiglia di installare sempre gli aggiornamenti di sicurezza più recenti. Tuttavia, Microsoft vi offre questa soluzione Fixit come opzione di soluzione per alcuni scenari. Per ulteriori informazioni su questa soluzione, visitare il seguente la pagina del Microsoft Security Advisory. La consulenza fornisce ulteriori informazioni sul problema, tra cui gli scenari in cui è possibile applicare o disattivare la soluzione e come applicare manualmente la soluzione. Per attivare o disattivare questa soluzione Fix it, fate clic sul pulsante Fix it o il link posto sotto la voce Abilita o sotto la voce Disabilita. Fate clic su Esegui nel Download del file nella finestra di dialogo, e quindi seguite i passaggi della correzione guidata. Il SANS Internet Storm Center ha pure scritto un post sul suo blog, annotando tutte le località correnti per fornire informazioni su questa vulnerabilità. Se vi imbattete in attacchi diretti contro questa vulnerabilità, potete caricare tutti i dettagli in vostro possesso (pcap, campioni, url, etc) attraverso il suo modulo di contatto che verrà revisionato, condiviso con la comunità (se permesso), aggiornato e postato il diario. Ci vorrà  probabilmente un certo tempo prima che Microsoft sarà in grado di rilasciare una patch per questa vulnerabilità.

Microsoft: rilasciata patch per correggere la vulnerabilità .lnk

Microsoft ha rilasciato una patch di emergenza - ossia al di fuori del normale ciclo mensile - che risolve una vulnerabilità particolarmente seria, la quale interessa tutti i sistemi Windows; la pubblicazione è stata effettuata alle 19 (ora italiana). Il problema riguarda la gestione dei file con estensione Lnk (ossia quelli che rappresentano i collegamenti) e Pif da parte del sistema operativo: un file appositamente creato può eseguire codice maligno - con gli stessi utenti dell'utente - se aperto in Windows Explorer.

Sembra che questa vulnerabilità sia già ampiamente sfruttata e, considerato l'uso pressoché ubiquo dei collegamenti (basti pensare ai menu, o alle icone sul desktop), il pericolo è più che concreto: per questo Microsoft ha deciso di fare un'eccezione alla solita politica di rilascio. Uno dei malware più attivi nell'usare questo sistema per diffondersi è Sality.AT, che si copia sulle unità rimovibili Usb (dalle quali tenta poi di infettare nuovi PC) e ha la capacità di disabilitare i programmi che si occupano di sicurezza.

La patch, identificata dal codice MS10-046, non è stata rilasciata per Windows XP SP2 né per Windows 2000, sistemi per i quali il ciclo di supporto è definitivamente concluso. In precedenza Microsoft aveva fornito un Fix It per offrire un metodo utile ad aggirare la vulnerabilità nei file .lnk. Anche società come Sophos si erano prodigate nella realizzazione di software che mitigassero la vulnerabilità. La debolezza risolta da questa correzione è, probabilmente, una delle più serie emerse negli ultimi tempi.

L'installazione della patch deve essere considerata assolutamente prioritaria, tanto in ambito privato quanto presso le aziende. Il modo più rapido per accedere alla patch è quello di procedere con l'installazione manuale tramite l'eseguibile, comunque Microsoft ha deciso di spingere l'update anche tramite Windows Update: in questo modo, tutti coloro che avessero mantenute inalterate le impostazioni di default del componente riceveranno i nuovi byte in maniera del tutto automatica.