Windows, ecco le patch natalizie

Microsoft ha pubblicato due bollettini di sicurezza che sistemano quattro vulnerabilitÓ di Internet Explorer, tra cui due molto serie, ed una falla di Windows. Rilasciati anche diversi altri aggiornamenti

Redmond (USA) - L'ultimo appuntamento dell'anno con i bollettini di sicurezza di Microsoft ha visto la correzione di cinque vulnerabilitÓ di sicurezza, tra cui quattro contenute in Internet Explorer ed una nel kernel di Windows.

Tra le patch per IE descritte nel bollettino MS05-054 ve n'Ŕ una che sistema la falla presa di mira lo scorso mese da un exploit pubblico. Il problema, valutato della massima gravitÓ, Ŕ causato da un bug nel motore Javascript di IE che impedisce al browser di gestire opportunamente il caricamento di oggetti DOM (Document Object Model) malformati: un aggressore potrebbe sfruttare la debolezza per lanciare da remoto attacchi di denial of service o eseguire del codice a sua scelta. Sebbene la vulnerabilitÓ fosse nota fin da maggio, Microsoft ne ha verificato la reale pericolositÓ solo di recente, appunto dopo il rilascio del giÓ citato exploit pubblicato dalla societÓ di sicurezza inglese Computer Terrorism.

La seconda vulnerabilitÓ critica di IE Ŕ simile alla precedente ma riguarda la gestione degli oggetti di tipo COM (Componet Object Model): in questo caso un sito potrebbe inglobare degli ID di classe (CLSID) che, facendo riferimento a oggetti COM non progettati per IE, possono causare un crash dell'applicazione e l'eventuale esecuzione di codice.
Le altre due debolezze del browser di Microsoft sono entrambe classificate con un livello di pericolositÓ moderato: la prima Ŕ data dal fatto che IE, in certi casi, pu˛ inviare ad un server proxy HTTPS URL in chiaro; la seconda consiste nella possibilitÓ, per un sito web, di manipolare la finestra di dialogo del download in modo da causare automaticamente l'esecuzione di un programma appena scaricato dall'utente: Microsoft sottolinea per˛ come questo tipo di attacco sia alquanto elaborato da mettere in pratica, e richieda inoltre l'interazione dell'utente.

Tutte le falle fin qui descritte affliggono IE 6.x e 5.x su tutte le versioni di Windows ancora supportate da Microsoft: merita una nota a parte Windows Server 2003, in cui le vulnerabilitÓ "critiche" sono state classificate dal big di Redmond come "moderate".

Nel bollettino MS05-055 Microsoft ha invece fornito il fix per una vulnerabilitÓ del kernel di Windows NT 4.0 e 2000 che potrebbe essere sfruttata da un utente locale per eseguire dei comandi con i massimi privilegi di sistema.

Insieme ai due nuovi bollettini di sicurezza, Microsoft ha rilasciato una versione aggiornata del proprio Malicious Software Removal Tool che, come promesso lo scorso mese, provvede a rimuovere il tristemente famoso rootkit di Sony BMG.

Nelle scorse ore Microsoft ha anche pubblicato alcuni aggiornamenti che possono essere scaricati solo manualmente: tra questi vi sono Project Server 2003 Service Pack 2a; una patch per Windows XP dedicata a risolvere un problema che impedisce al servizio Aggiornamenti automatici di Windows Update di scaricare gli aggiornamenti in seguito a un errore di violazione di accesso; una patch per Windows XP che risolve diversi problemi che possono verificarsi quando si utilizza una chiamata di procedura remota (RPC) per le comunicazioni client/server; una patch per Windows XP che risolve un problema a causa del quale potrebbe non essere possibile visualizzare i contenuti di una sottocartella in una condivisione di rete in seguito all'installazione del bollettino MS05-011; una patch per Windows XP che risolve un problema a causa del quale potrebbe non essere possibile ripristinare un punto di ripristino configurazione di sistema creato con Windows XP SP2 dopo aver ripristinato un punto di ripristino configurazione di sistema creato con Windows XP SP1.

La scorsa settimana uno spregiudicato bug hunter ha ricevuto i suoi 15 minuti e rotti di celebritÓ mettendo all'asta, su eBay, i dettagli di una vulnerabilitÓ di MS Excel con relativo exploit zero-days. L'inserzione Ŕ stata cancellata dai moderatori di eBay, ma prima di sparire Ŕ riuscita a raccogliere 19 offerte e una somma massima di 53 dollari: il testo integrale pu˛ ancora essere letto qui. Microsoft si Ŕ detta impegnata ad investigare sul problema.
TAG: sicurezza
55 Commenti alla Notizia Windows, ecco le patch natalizie
Ordina
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 10 discussioni)