www.MegaLab.it

In un momento particolarmente caldo per la sicurezza del mondo Microsoft, ecco arrivare il consueto aggiornamento di aprile.

Vulnerabilities in GDI.. (MS07-017)

Il primo aggiornamento proposto per aprile 2007 è in realtà la patch per il problemone nel rendering dei cursori .ANI di cui abbiamo discusso qualche giorno fa. Vale comunque la pena di ribadire anche in questa sede la gravità del problema, e quindi l'importanza di installare questo aggiornamento alla primissima occasione disponibile.

>> Bollettino Microsoft e download

Vulnerabilities in Microsoft Content Management Server... (MS07-018)

Il secondo aggiornamento interessa unicamente gli amministratori di sistema che avessero scelto Microsoft Content Management Server in versione 2001 o 2002 per la gestione dei documenti aziendali.

In particolare, due sono i problemi risolti da questo update: il primo baco consente ad un utente ostile di eseguire codice sul sistema remoto semplicemente richiedendo al web server un URL debitamente malformato, mentre il secondo, comunque meno grave, permette ad un aggressore di portare attacchi di tipo XSS, e sottrarre così informazioni potenzialmente riservate.

Vista la semplicità con cui è possibile sfruttare i due problemi, raccomando a tutti gli amministratori che utilizzassero questo prodotto di installare l'update al più presto.

>> Bollettino Microsoft e download

Vulnerability in Universal Plug and Play... (MS07-019)

Un problema nell'utilizzo del protocollo UPnP da parte di Windows XP (ma non Windows 2000, Windows Server 2003 o Windows Vista) potrebbe consentire di eseguire codice malevolo su di una macchina non debitamente protetta.

La vulnerabilità comunque non è sfruttabile da remoto, attraverso Internet: l'aggressore dovrebbe trovarsi connesso alla stessa rete della propria vittima per tentare l'attacco. L'installazione della patch quindi è raccomandabile solo a chi lavora con un notebook o si trova a collegarsi spesso a reti locali di calcolatori potenzialmente non-sicure, come ad esempio quelle degli Internet Cafè.

L'alternativa è disabilitare il servizio UPnP, operazione che raccomando comunque solo agli utenti più smaliziati. Questa funzionalità consente infatti di configurare in modo automatico i router domestici: disabilitandola, alcuni programmi o servizi potrebbero non funzionare più correttamente.

>> Bollettino Microsoft e download

Vulnerability in Microsoft Agent... (MS07-020)

Un problema nella gestione degli Agenti Microsoft (un componente utilizzato per realizzare pupazzetti animati all'interno dei sistemi operativi Microsoft) consentirebbe ad un cracker di preparare un URL che, una volta visitato con Internet Explorer 6 o precedenti, potrebbe eseguire codice da remoto sulla macchina della vittima. Il problema attualmente sembra essere sfruttabile solamente utilizzando Internet Explorer 6 come vettore d'ingresso: Internet Explorer 7 sia per Windows XP che per Windows Vista non sono invece afflitti dal problema.

Raccomando, ove possibile, di aggiornare la versione di Internet Explorer in uso oppure di valutare un navigatore alternativo piuttosto che installare questo aggiornamento.

>> Bollettino Microsoft e download

Vulnerabilities in CSRSS... (MS07-021)

Una serie di debolezze nell'importantissimo servizio Windows Client/Server Run-time Subsystem (CSRSS) consentono ad un utente locale o in possesso di credenziali di accesso valide di portare attacchi ad effetto variabile fra l'elevazione temporanea dei privilegi e l'esecuzione di codice da remoto.

Il bollettino precisa comunque che nessuna delle tre vulnerabilità risolte da questo aggiornamento può essere sfruttata attraverso Internet, e che comunque un cracker dovrebbe già possedere username e password valide per accedere alla macchina prima di poter portare un attacco ai componenti fallati.

L'aggiornamento è vivamente consigliato a tutti i computer condivisi o pubblicamente accessibili, mentre può essere considerato superfluo in ambito domestico.

>> Bollettino Microsoft e download

Vulnerability in Windows Kernel... (MS07-022)

L'ultimo aggiornamento del mese interessa Windows 2000, Windows XP e Windows Server 2003 e, ancora una volta, può essere sfruttato solo localmente e solo da un utente già in possesso di credenziali di accesso valide per elevare i propri privilegi a livello di amministratore. Come tale, valgono le considerazioni fatte poco fa per l'update MS07-022.

>> Bollettino Microsoft e download