"Patch day" di Agosto: undici i bollettini Microsoft

Il “patch day” agostano di Microsoft si presenta piuttosto pingue. Sono infatti ben 11 i bollettini di sicurezza che il colosso di Redmond ha appena pubblicato. Sette patch sono state classificate come “critiche” mentre le restanti cinque come “importanti”.

– Una vulnerabilità nel controllo ActiveX Snapshot Viewer per Microsoft Access, potrebbe consentire l’esecuzione di codice nocivo in modalità remota. La prima patch di sicurezza del mese permette di sanare una grave vulnerabilità legata al controllo Snapshop Viewer. Nel caso in cui l’utente dovesse visitare una pagina web appositamente studiata da un malintenzionato per causare danni, potrebbe vedere eseguito sul proprio sistema del codice dannoso. Sono affetti dal problema i pacchetti Office 2000, Office XP ed Office 2003. Patch indicata come “critica”.

– Una vulnerabilità presente in Microsoft Word potrebbe consentire l’esecuzione di codice dannoso in modalità remota. Le versioni di Office interessate dal problema sono XP e 2003. Un aggressore, per poter eseguire codice maligno sulla macchina dell’utente, è sufficiente che “confezioni” un documento Word opportunamente modificato per far leva sulla lacuna di sicurezza. La patch dovrebbe essere tempestivamente installata poiché in Rete è già ampiamente conosciuto il codice exploit utilizzabile per sfruttarla. Patch “importante”.

– Alcune vulnerabilità in Microsoft Excel potrebbero consentire l’esecuzione di codice nocivo da remoto. Anche in questo caso abbiamo a che fare con un aggiornamento che permette di risolvere alcune falle di sicurezza legate, questa volta, ad Excel (tutte le versioni di Office, 2007 compresa). L’utente, aprendo un documento Excel “maligno”, opportunamento concepito, potrebbe vedere eseguito, sul proprio sistema, del codice malware. Patch classificata come “critica”.

– Alcune vulnerabilità nei filtri di Microsoft Office potrebbero consentire l’esecuzione di codice maligno in modalità remota. L’aggiornamento interessa Office 2000, Office XP ed Office 2003 oltre ai software Project 2002, Converter Pack e Works 8. Nel caso in cui l’utente visualizzi, con Office, un file d’immagine modificato “ad arte” potrebbe rischiare di vedere eseguito codice dannoso. Il problema riguarda la gestione di molti formati: EPS, PICT, BMP e WPG. La patch è indicata come “critica”.

– Aggiornamento cumulativo per Internet Explorer. Come spesso accade, anche questo mese Microsoft ha rilasciato un aggiornamento cumulativo per il browser Internet Explorer. La patch interessa le versioni di Internet Explorer 5.01 (inclusa in Windows 2000), 6.0 e 7.0 sostituendo il precedente aggiornamento reso disponibile nel mese di Giugno scorso.

– Una vulnerabilità in Windows Image Color Management System potrebbe agevolare l’esecuzione di codice dannoso in modalità remota. Questo aggiornamento di sicurezza è rivolto agli utenti di tutte le versioni di Windows (tranne Windows Vista e Windows Server 2008). Stando a quanto dichiarato da Microsoft, un aggressore remoto potrebbe riuscire ad eseguire codice dannoso sulla macchina dell’utente inducendolo ad aprire un’immagine “maligna”, concepita allo scopo. I rischi sono maggiori allorquando l’utente abbia effettuato il login con un account dotato di diritti amministrativi. Patch “critica”.

– Una vulnerabilità nella gestione di policy IPsec potrebbe portare alla condivisione indesiderata di informazioni sensibili. La falla di sicurezza risolvibile attraverso l’applicazione di questo aggiornamento, potrebbe far sì che i sistemi della rete locale ignorino le policy IPsec impostate e trasmettano i dati in chiaro.
I sistemi operativi affetti dal problema sono Windows Vista e Windows Server 2008, nelle varie versioni. Patch classificata come “importante”.

– Aggiornamento di sicurezza per Outlook Express e Windows Mail. La patch, da installare su tutte le varie versioni di Windows, permette di risolve una vulnerabilità che potrebbe favorire la diffusione di dati personali nel momento in cui si faccia visita, con Internet Explorer, ad una pagina web “maligna”, studiata in modo tale da far leva sulla lacuna di sicurezza. Patch “importante”.

– Alcune vulnerabilità in Event System potrebbero avere come conseguenza l’esecuzione di codice nocivo da remoto. La falla di sicurezza, pur permettendo l’esecuzione di codice nocivo in modalità remota, è stata classificata come “importante” poiché l’aggressore deve essere in possesso di credenziali di accesso valide per tentare di sferrare l’attacco. Inoltre egli dovrebbe generare delle richieste opportunamente modificate in modo tale da mandare in crisi la gestione degli eventi di sistema di Windows. Tutte le versioni del sistema operativo sono affette dalla problematica.

– Una vulnerabilità presente in Windows Messenger potrebbe esporre informazioni personali. Il problema di sicurezza interessa le versioni 4.7 e 5.1 di Windows Messenger, il client di messaggistica dell’azienda di Redmond. La possibilità che vengano esposte informazioni personali deriva da una falla scoperta all’interno del controllo ActiveX denominato “Messenger.UIAutomation.1” che però, come spiegano i tecnici Microsoft, non è inserito tra quelli fidati nella lista di Internet Explorer. L’aggiornamento è considerato “importante”.

– Alcune vulnerabilità scoperte in Microsoft PowerPoint potrebbero agevolare l’esecuzione di codice dannoso in modalità remota. Provvedendo ad applicare la patch, è possibile risolvere tre vulnerabilità di sicurezza che interessano le varie versioni del pacchetto Microsoft Office (2000, XP, 2003, 2007). Un aggressore, nel caso in cui l’aggiornamento non venga installato, potrebbe essere in grado di eseguire codice nocivo semplicemente inducendo l’utente ad aprire un file PowerPoint “maligno”. Patch di importanza “critica”.

Nella sua analisi mensile, l’Internet Storm Center (ISC) di SANS riporta come critiche, soprattutto in ambito client, molteplici patch di sicurezza (ved. questa scheda).

A corollario del “patch day”, Microsoft ha rilasciato anche un nuovo aggiornamento per il suo “Strumento di rimozione malware” (ved. questa pagina), giunto alla versione 2.1.