Nuove crepe in Windows, megapatch per SQL Server

Redmond (USA) – In totale sono undici le nuove vulnerabilità di sicurezza corrette ieri da Microsoft con il rilascio di alcune patch per Windows, Services for Unix 3.0 e SQL Server.

Le prime due, classificate come “critical”, sono descritte nell’advisory MS02-055 e riguardano il sistema di Help incluso in Windows 98, Me, NT4, 2000 e XP. La prima di queste vulnerabilità consiste un buffer non verificato nel controllo ActiveX che fornisce molte delle funzionalità dell’Help di Windows. Questa falla può essere sfruttata da un aggressore attraverso una pagina Web o una e-mail HTML per eseguire codice a sua scelta con gli stessi privilegi dell’utente locale.

La seconda vulnerabilità riguarda il modo in cui vengono trattati i file HTML di Help compilati (.chm) che contengono scorciatoie (shortcut). “Dato che gli shortcut – spiega Microsoft – consentono ai file HTML di Help di compiere qualsiasi azione nel sistema, solo i file HTML di Help trusted dovrebbero avere il permesso di utilizzarli”. Se un aggressore è in grado, avvalendosi della precedente vulnerabilità, di copiare un file “.chm” malevolo all’interno della Temporary Internet Folder e poi eseguirlo, il tutto dall’interno di una e-mail HTML, potrebbe anche in questo caso prendere il controllo del computer remoto.

Il secondo problema, descritto nel bollettino MS02-054 , interessa Windows 98 con il Plus! Pack installato, Me e XP, e consiste in due falle clasificate di rischio moderato contenute all’interno della funzione “Cartella compressa”: questa può essere utilizzata per la compressione dei file nel diffusissimo formato Zip.

La prima vulnerabilità consiste in un buffer non verificato all’interno del programma che decomprime i file Zip: un aggressore potrebbe trarne vantaggio per mandare in crash l’Explorer di Windows o, in alcuni rari casi, per eseguire del codice a sua scelta.

La seconda debolezza è data dalla possibilità, per un malintenzionato, di fare in modo che la funzione di decompressione metta un file in una directory differente da quella scelta dall’utente come destinazione. Un aggressore potrebbe utilizzare questa vulnerabilità per mettere alcuni file malevoli in cartelle a lui note o nella directory “Esecuzione automatica”.

Microsoft afferma che entrambe le vulnerabilità non possono essere sfruttate da remoto e richiedono l’interazione dell’utente; inoltre, in Windows 98 e Me la funzione Cartella compressa non è installata di default.

Di seguito le altre vulnerabilità di Services for Unix e SQL Server.


Il terzo bollettino di sicurezza, l’ MS02-057 , descrive tre vulnerabilità classificate di rischio moderato che affliggono la versione 3.0 di Services for Unix 3.0 Interix SDK: questo è un kit di sviluppo che include compilatori, librerie, debugger e altri strumenti per far girare applicazioni scritte per Unix in ambiente Windows. Tutte e tre le vulnerabilità segnalate da Microsoft sono relative alla libreria RPC (Remote Procedure Call) di Sun: gli sviluppatori che hanno creato applicazioni avvalendosi di questa libreria devono applicare la patch all’SDK e successivamente ricompilare le proprie applicazioni.

Il bollettino MS02-056 descrive invece il contenuto di una patch cumulativa per SQL Server che contiene tutti i fix di sicurezza precedentemente rilasciati per SQL Server 7.0, SQL Server 2000, Microsoft Data Engine (MSDE) 1.0 e Microsoft Desktop Engine (MSDE) 2000. Oltre a questi, la megapatch va a correggere quattro nuove vulnerabilità relative a due buffer overrun in SQL Server 2000 e MSDE 2000; un buffer overrun nel Database Console Commands di SQL Server 7.0 e 2000 e un bug relativo alla gestione dei privilegi degli utenti contenuto in SQL Server 7.0 e 2000. Tutte e quattro le debolezze di sicurezza sono classificate da Microsoft come “critical” e, nel caso più grave, possono consentire ad un aggressore di prendere il controllo del server da remoto.

I link a tutte le patch qui descritte si trovano all’interno dei relativi bollettini di sicurezza di Microsoft. Le patch che riguardano Windows possono anche essere scaricate dal Windows Update o attraverso la funzione di aggiornamento automatico di Windows XP e Windows 2000 SP3.

Pochi giorni fa Microsoft ha corretto una grave falla nelle estensioni di FrontPage, mentre due settimane fa ha tappato cinque buchi della Java Virtual Machine e del Terminal Server. Alla fine della scorsa settimana, infine, una società operante nel campo della sicurezza ha riportato un advisory riguardante una vulnerabilità , ancora non patchata, del protocollo PPTP integrato nel software di VPN di Windows 2000/XP.