Microsoft ha pubblicato il Patch Tuesday di febbraio contenente gli aggiornamenti per 99 nuove vulnerabilità, di cui 10 classificate come critiche, 87 come importanti e 2 come moderate.
Le patch riguardano i seguenti prodotti:
- Microsoft Windows
- Microsoft Edge (EdgeHTML-based)
- Microsoft Edge (Chromium-based)
- ChakraCore
- Internet Explorer
- Microsoft Exchange Server
- Microsoft SQL Server
- Microsoft Office e Microsoft Office Services and Web Apps
- Windows Malicious Software Removal Tool
- Windows Surface Hub
Indice degli argomenti
Corretta una vulnerabilità zero-day di Internet Explorer
Tra i vari aggiornamenti è presente anche la patch CVE-2020-0674 | Scripting Engine Memory Corruption Vulnerability che corregge la pericolosa vulnerabilità zero-day in Internet Explorer analizzata in un bollettino di sicurezza pubblicato da Microsoft lo scorso 17 gennaio.
Già sfruttata attivamente “in the wild” dai criminal hacker, la vulnerabilità potrebbe consentire di prendere il controllo completo di milioni di PC semplicemente inducendo gli utenti a visitare apposite pagine Web compromesse.
La vulnerabilità, di tipo RCE (Remote Code Execution) e causata dal modo in cui il motore di scripting di Internet Explorer gestisce gli oggetti in memoria, interessa le versioni 9, 10 e 11 del browser Microsoft in esecuzione su Windows 7/8/10 e Windows Server 2008/2012/2016/2019 e potrebbe consentire ad un attaccante di eseguire codice da remoto con i privilegi dell’utente corrente.
È evidente che se la vittima fosse un utente con i privilegi di amministratore, l’attaccante potrebbe prendere il controllo completo del sistema, riuscendo a installare programmi, visualizzare, modificare o cancellare dati o creare nuovi account con tutti i diritti dell’utente.
Oltre alla vulnerabilità identificata in Internet Explorer, Microsoft ne ha corretto altre tre che sono state divulgate pubblicamente ma, finora, non risultano essere state sfruttate in natura:
- CVE-2020-0683 – Windows Installer Elevation of Privilege Vulnerability
- CVE-2020-0686 – Windows Installer Elevation of Privilege Vulnerability
- CVE-2020-0706 – Microsoft Browser Information Disclosure Vulnerability
Aggiornamenti Microsoft: le altre vulnerabilità
Ecco i dettagli delle altre principali vulnerabilità classificate come critiche o importanti corrette con gli aggiornamenti Microsoft di febbraio:
- CVE-2020-0662: vulnerabilità identificata in una gestione impropria degli oggetti in memoria. Se sfruttata, potrebbe consentire ad un attaccante di eseguire codice arbitrario con privilegi elevati sul sistema target.
- CVE-2020-0681, CVE-2020-0734: vulnerabilità critiche identificate nel client Remote Desktop Services (RDP) di Windows. A differenza di altri bug identificati in passato nel modulo di desktop remoto, queste non sono di tipo wormable, cioè non si diffondono tra macchine collegate in rete tra loro, ma potrebbero comunque essere sfruttati per compromettere sistemi vulnerabili che si connettono a server malevoli. Chiaramente, per farlo, i criminal hacker dovrebbero indurre la potenziale vittima a collegarsi al server compromesso utilizzando tecniche di social engineering, di DNS poisoning o mediante attacchi di tipo man-in-the-middle.
- CVE-2020-0729: vulnerabilità critica legata al modo in cui Windows gestisce i file di collegamento rapido in formato .LNK. Il suo sfruttamento potrebbe consentire a un attaccante remoto di eseguire codice arbitrario sul sistema target e di assumerne il pieno controllo. In particolare, i criminal hacker potrebbero indurre le vittime ad utilizzare un’unità removibile o una condivisione di rete contenenti un file .LNK dannoso e un binario associato. Quando l’utente accede ai contenuti del drive USB o alla condivisione remota da Windows Explorer, o qualsiasi altra applicazione che analizza il file .LNK, il file binario eseguirà il codice malevolo.
- CVE-2020-0738: vulnerabilità critica identificata nel componente Media Foundation di Windows e legata ad una gestione impropria degli oggetti in memoria. Può consentire ad un attaccante remoto di ottenere il controllo completo del sistema target.
- CVE-2020-0689: una minaccia significativa per gli utenti attenti alla sicurezza. Microsoft ha infatti individuato questa vulnerabilità nella funzione di avvio sicuro del sistema operativo che potrebbe consentire ad un attaccante di bypassarla e caricare software non affidabile sul sistema.
I dettagli di tutti gli altri aggiornamenti di sicurezza Microsoft per il mese di novembre possono essere consultati direttamente sul portale Microsoft.
Aggiornamenti di sicurezza Microsoft: ecco come installarli
Agli utenti e agli amministratori di sistema si raccomanda vivamente di applicare le ultime patch di sicurezza il più presto possibile per tenere gli hacker e i criminali informatici lontani dal prendere il controllo dei loro sistemi.
Windows 10 è già configurato per controllare periodicamente la disponibilità di aggiornamenti critici e importanti, quindi non c’è bisogno di effettuare manualmente il controllo. Quando un aggiornamento è disponibile, viene scaricato e installato automaticamente, mantenendo il dispositivo aggiornato con le funzionalità e i miglioramenti di sicurezza più recenti.
Per verificare subito la disponibilità di aggiornamenti, è sufficiente cliccare sul pulsante Start, quindi spostarsi nella sezione Impostazioni/Aggiornamento e sicurezza/Windows Update e selezionare Controlla aggiornamenti.
In tutte le altre versioni recenti di Windows è invece opportuno abilitare il servizio Windows Update dal Pannello di controllo e configurarlo affinché scarichi e installi automaticamente gli aggiornamenti rilasciati da Microsoft sia per il sistema operativo sia per le singole applicazioni.
