Alessandro Del Rosso

Windows, il pericolo viene dai font embedded

I bollettini di sicurezza di novembre pubblicati da Microsoft correggono oltre una dozzina di vulnerabilità. Le più gravi riguardano la gestione dei font Embedded OpenType

Roma - Seguendo il suo consueto ciclo mensile dei rilasci, la scorsa notte Microsoft ha pubblicato sei bollettini di sicurezza che, nel complesso, correggono 15 vulnerabilità in Windows, Windows Server e Office.

Le falle considerate più urgenti, sia in ambito client che server, sono quelle risolte dai bollettini MS09-065 e MS09-063. Nel primo caso i bug sono tre, tutti contenuti nel kernel di Windows e tutti potenzialmente sfruttabili da un aggressore per eseguire del codice a sua scelta in modalità remota.

Delle tre, la vulnerabilità più pericolosa è legata alla gestione dei font Embedded OpenType (EOT): un malintenzionato potrebbe far leva su questa debolezza allestendo una pagina web che, una volta aperta dall'utente, innesca l'esecuzione di codice maligno. A rendere particolarmente insidiosa questa vulnerabilità è il fatto che il font malformato potrebbe essere iniettato da un aggressore anche in siti che, pur non essendo direttamente sotto il suo controllo, ospitano contenuti uploadati dagli utenti. Oltre a ciò, i dettagli della falla sono di pubblico dominio ormai da settimane. Il problema interessa tutte le versioni ancora supportate di Windows ad eccezione delle due più recenti: Windows 7 e Windows Server 2008 R2.
Il secondo bollettino più urgente, l'MS09-063, interessa esclusivamente Windows Vista e Windows Server 2008, e potrebbe impensierire soprattutto le aziende. Il problema è relativo alla API Web Services on Devices (WSDAPI), un framework pensato per semplificare la ricerca e il browsing di dispositivi collegati allo stesso network (come PDA, stampanti, fotocamere ecc.). Un malintenzionato connesso alla stessa subnet della vittima potrebbe inviare verso il PC vulnerabile un pacchetto malformato che causa il crash del servizio WSDAPI (in ascolto sulle porte TCP/5357-5358 e UDP/3702) ed esegue del codice a sua scelta.

Il terzo bollettino classificato da Microsoft con il massimo grado di rischio è l'MS09-64, che come l'MS09-066 si rivolge esclusivamente alle poche aziende che ancora utilizzano Windows 2000. Il primo bollettino corregge una falla nel License Logging Server, un servizio attivo di default, e potrebbe essere sfruttata per eseguire del codice a distanza. Il secondo bollettino riguarda invece un bug in Active Directory che, nel peggiore dei casi, potrebbe essere utilizzato per lanciare attacchi denial of service.

Gli ultimi due bollettini, l'MS09-067 e MS09-068, sono entrambi classificati "importanti" e descrivono rispettivamente alcuni bug in Office Excel e Office Word (tutte le versioni attualmente supportate): alcuni di questi bachi potrebbero essere sfruttati da un cracker per forgiare documenti Word o Excel che, una volta aperti dall'utente, eseguono del codice dannoso.

Il sommario dei bollettini di novembre è disponibile qui, mentre in questa pagina si trovano le consuete tabelle sinottiche stilate dal Microsoft Security Response Center.

Alessandro Del Rosso
Notizie collegate
8 Commenti alla Notizia Windows, il pericolo viene dai font embedded
Ordina
  • win2000 è sicuramente usato moltissimo, perché non ha il WGA e quindi permette installazioni serializzate senza problemi, specialmente per chi ha un parco macchine vecchio (ma perfettamente utilizzabile) e si vuole giostrare senza problemi quello che ha senza comprare altro.

    Se non ti serve la roba nuova, non è intelligente seguire "la moda".

    Il dato "le poche aziende" da dove viene?

    nei parchi macchine che conosco win2000 resta saldo dov'è finché le macchine non fondono, inoltre resta completamente saldo nelle VM che offrono qualche servizio particolare, perché si fotocopiano in pochi istanti e senza problemi.

    Proprio come i sistemi operativi che fanno il loro mestiere e non si fanno i fatti tuoi.
    non+autenticato
  • senza contare che se hai sicurezza a sufficienza ...
    non+autenticato
  • - Scritto da: durden
    > win2000 è sicuramente usato moltissimo, perché
    > non ha il WGA e quindi permette installazioni
    > serializzate senza problemi, specialmente per chi
    > ha un parco macchine vecchio (ma perfettamente
    > utilizzabile) e si vuole giostrare senza problemi
    > quello che ha senza comprare
    > altro.
    >
    > Se non ti serve la roba nuova, non è intelligente
    > seguire "la
    > moda".
    >
    > Il dato "le poche aziende" da dove viene?
    >
    > nei parchi macchine che conosco win2000 resta
    > saldo dov'è finché le macchine non fondono,
    > inoltre resta completamente saldo nelle VM che
    > offrono qualche servizio particolare, perché si
    > fotocopiano in pochi istanti e senza
    > problemi.
    >
    > Proprio come i sistemi operativi che fanno il
    > loro mestiere e non si fanno i fatti
    > tuoi.

    Anche NT4 Server!!!
    non+autenticato
  • - Scritto da: durden
    > win2000 è sicuramente usato moltissimo, perché
    > non ha il WGA e quindi permette installazioni
    > serializzate senza problemi, specialmente per chi
    > ha un parco macchine vecchio (ma perfettamente
    > utilizzabile) e si vuole giostrare senza problemi
    > quello che ha senza comprare
    > altro.
    >
    > Se non ti serve la roba nuova, non è intelligente
    > seguire "la
    > moda".
    >
    > Il dato "le poche aziende" da dove viene?
    >
    > nei parchi macchine che conosco win2000 resta
    > saldo dov'è finché le macchine non fondono,
    > inoltre resta completamente saldo nelle VM che
    > offrono qualche servizio particolare, perché si
    > fotocopiano in pochi istanti e senza
    > problemi.
    >
    > Proprio come i sistemi operativi che fanno il
    > loro mestiere e non si fanno i fatti
    > tuoi.

    E Nessuno ti obbliga a cambiarlo se ti piace! E' venuto per caso qualche dipendente microsoft puntandoti una pistola alla testa e chiedendoti di passare a 7? Non mi pare.
    D'altro canto neppure loro sono più obbligati a supportare un sistema operativo di 10 anni fa. (e loro tra l'altro ti avvisano prima quando smetteranno di supportarlo).

    Conosco gente che in azienda ha ancora windows 95 (e non sto scherzando) perchè si trova bene, ma mica si lamenta perchè non ci sono più aggiornamenti.
    non+autenticato
  • cioe', di TUTTI i sapori di windows presenti, solo Windows 7 e server 2008 sono immuni? e le patch per i "vecchi" windows (xp e vista per esempio) non le fanno? no? forse pr "invogliare" l'utenza a passare a W7? ma no, ma dai, che malignita' pensare queste cose....
    non+autenticato
  • contenuto non disponibile
  • - Scritto da: unaDuraLezione
    > - Scritto da: attonito
    > > cioe', di TUTTI i sapori di windows presenti,
    > > solo Windows 7 e server 2008 sono immuni? e le
    > > patch per i "vecchi" windows (xp e vista per
    > > esempio) non le fanno? no? forse pr "invogliare"
    > > l'utenza a passare a W7? ma no, ma dai, che
    > > malignita' pensare queste
    > > cose....
    >
    > se fosse stato colpito anche seven arrivava un
    > altro furbo a dire che han fatto copia/incolla
    > del codice di win95.
    > Nell'informatica ci sono lo zero e l'uno, ma i MS
    > haters danno lo stesso significato ai due valori
    > quando si parla di MS.
    > Tanto vale che non argometiate.

    La tua obiezione e' ammissibile, ma a questo punto io mi aspetto che in un tempo ragionevole, diciamo un mese, esca la patch che mette in sicurezza questa vulnerabilita' su tutti i vari windows esistenti.
    Altrimenti ho ragione io e chi non puo' argomentare sono i fanboy MS.
    non+autenticato
  • - Scritto da: attonito
    > cioe', di TUTTI i sapori di windows presenti,
    > solo Windows 7 e server 2008 sono immuni? e le
    > patch per i "vecchi" windows (xp e vista per
    > esempio) non le fanno? no? forse pr "invogliare"
    > l'utenza a passare a W7? ma no, ma dai, che
    > malignita' pensare queste
    > cose....

    ma che vuol dire "non le fanno" ? Queste che cavolo sono secondo te ?
    http://www.microsoft.com/technet/security/Bulletin... (per altro linkate nell'articolo).
    Ma lo sai cos'è un lifecyrcle ? Se ancora sviluppano patch per Windows 2000 un motivo c'è o le fanno perchè hanno tempo da perdere ?