Patch urgenti per Outlook, Exchange e Windows

Con i bollettini di gennaio Microsoft ha corretto due vulnerabilitÓ, entrambe classificate critiche, sfruttabili da remoto per prendere il controllo di PC client e di server su cui gira Exchange 5.x/2000

Redmond (USA) - Dopo aver corretto in tutta fretta la pericolosa falla legata alle immagini WMF, ieri Microsoft ha pubblicato due nuovi bollettini di sicurezza che sistemano due falle "critiche" in Windows, Outlook e Exchange.

Il problema di sicurezza pi¨ serio Ŕ quello descritto nel bollettino MS06-003, riguardante una vulnerabilitÓ nel modo in cui Outlook ed Exchange decodificano gli allegati di posta elettronica in formato TNEF (Transport Neutral Encapsulation Format), una specifica proprietaria che consente di inviare e ricevere messaggi e-mail in formato RTF.

La falla nel codice di decodifica del TNEF pu˛ rendere vulnerabili ad attacchi remoti sia i computer client che i server: nel primo caso il vettore d'attacco Ŕ rappresentato da Outlook 2000, 2002 e 2003 e dai relativi MultiLanguage Pack; nel secondo caso Ŕ dato da Exchange 5, 5.5 e 2000. L'ultima versione di Exchange, la 2003, Ŕ invece immune dal problema.
"Un utente malintenzionato pu˛ tentare di sfruttare la vulnerabilitÓ creando un messaggio TNEF appositamente predisposto in grado di consentire l'esecuzione di codice in modalitÓ remota quando viene aperto un messaggio e-mail dannoso, quando ne viene visualizzata l'anteprima oppure quando il messaggio viene elaborato dal servizio Archivio informazioni di Microsoft Exchange", ha spiegato Microsoft nel proprio bollettino. "Sfruttando questa vulnerabilitÓ, un utente malintenzionato potrebbe assumere il pieno controllo del sistema interessato".

Mentre nel caso dei client l'attacco necessita di una minima interazione dell'utente, nel caso del server di posta Exchange l'eventuale codice dannoso viene eseguito automaticamente: ci˛ potrebbe rendere questa vulnerabilitÓ particolarmente appetibile per i creatori di worm. E' per tale ragione che Microsoft e la comunitÓ di esperti di sicurezza raccomandano alle aziende di applicare quanto prima la patch o, in alternativa, di filtrare gli allegati denominati Winmail.dat (contenenti le informazioni TNEF relative alla formattazione del testo).

Sebbene per Exchange 5.x il periodo di supporto gratuito sia giÓ scaduto, Microsoft ha deciso di fare uno strappo alla regola e rendere la patch liberamente disponibile.

Il bollettino MS06-002 tratta invece una vulnerabilitÓ nel modo in cui Windows decomprime certi tipi di font embedded contenuti nelle pagine web.

"Un utente malintenzionato potrebbe sfruttare la vulnerabilitÓ creando un carattere Web embedded dannoso in grado di consentire l'esecuzione di codice in modalitÓ remota se un utente visita un sito Web dannoso o visualizza un messaggio e-mail appositamente predisposto", ha spiegato Microsoft. "Sfruttando questa vulnerabilitÓ, un utente malintenzionato potrebbe assumere il pieno controllo del sistema interessato".

Questa debolezza riguarda tutte le versioni di Windows, dalla 98 alle 2003.
TAG: sicurezza
10 Commenti alla Notizia Patch urgenti per Outlook, Exchange e Windows
Ordina