Redmond (USA) – Microsoft ha reso disponibili due patch di sicurezza che mettono fine ad altrettante vulnerabilità di Windows, fra cui una riguardante le DirectX, e una patch cumulativa per SQL Server.
La falla contenuta nelle DirectX, descritta nel bollettino di sicurezza MS03-030 , interessa tutte le versioni di Windows in cui si trovi installata una versione delle librerie grafiche e multimediali compresa fra la 5.2 e la 9.0a. Il problema è stato classificato da Microsoft con il grado di rischio massimo, “critical”, eccetto che in Windows Server 2003, dove la stima del rischio è scesa a “important”.
La vulnerabilità consiste in due buffer ovverrun contenuti all’interno di un componente delle API DirectShow che gestisce la riproduzione dei file musicali MIDI (Musical Instrument Digital Interface). Un aggressore può essere in grado di sfruttare la debolezza inducendo un utente a cliccare su di un file MIDI creato in un certo modo che, una volta aperto, può consentire al cracker di eseguire sul sistema vulnerabile del codice a propria scelta con gli stessi privilegi dell’utente locale. Il file malevolo può essere incluso in una pagina Web o in una e-mail HTML.
Microsoft afferma di aver accertato la presenza del bug nelle DirectX 9.0a, DirectX 8.1, DirectX 7.0, DirectX 7.0a su Windows Millennium Edition, DirectX 6.1 su Windows 98 SE, DirectX 5.2 su Windows 98, Windows NT 4.0 con Windows Media Player 6.4 e Internet Explorer 6 Service Pack 1, Windows NT 4.0 Terminal Server Edition con Windows Media Player 6.4 e Internet Explorer 6 Service Pack 1.
Oltre alle singole patch, Microsoft ha rilasciato una nuova versione delle DirectX 9.0, la “b”, che corregge il problema. Gli update possono essere scaricati seguendo i link contenuti nel bollettino di Microsoft o attraverso il Windows Update.
L’altra vulnerabilità, giudicata da Microsoft di rischio moderato, interessa Windows NT 4.0 Server e Terminal Server e può essere utilizzata da malintenzionati per lanciare attacchi di tipo denial of service. I dettagli del problema e i link alla patch sono contenuti nel bollettino MS03-029 .
L’ultimo aggiornamento di sicurezza, trattato nell’advisory MS03-031 , consiste di una patch cumulativa per SQL Server 7.0 e SQL Server 2000 che, oltre a contenere tutti i fix di sicurezza rilasciati fino ad oggi, corregge tre nuove falle classificate come “important”.
Ti potrebbe interessare
25 lug 2003