www.MegaLab.it

Microsoft ha rilasciato anche questo mese il consueto bollettino di sicurezza, per un totale di 5 hotfix per numerose falle a pericolosità variabile.

Cumulative Security Update for Internet Explorer (MS06-013)

La prima patch di questo mese è di fatto un maxi-aggiornamento per Internet Explorer: con questo update Microsoft risolve ben 10 debolezze nel proprio navigatore, compresa quella nel metodo createTextRange () di cui abbiamo trattato qualche tempo fa.

Fortunatamente Microsoft è riuscita a risolvere (davvero a tempo di record!) anche il bug che avrebbe consentito ad un cracker di portare azioni di phishing.

L'aggiornamento è altamente consigliato per tutti gli utilizzatori di Internet Explorer. Chi predilige Firefox, Opera o altri navigatori concorrenti può invece tranquillamente trascurare questo update.

Da notare che le debolezze corrette da questo hotfix affliggono anche Internet Explorer installato sotto Windows 98/98SE/ME. Poiché le vulnerabilità in questione sono state reputate "Critical" anche sotto queste configurazioni, il gruppo ha rilasciato le correzioni anche per questi vetusti sistemi operativi.

• Bollettino Microsoft e download

Vulnerability in the Microsoft Data Access Components... (MS06-014)

La seconda patch "Critical" di questo mese interessa invece Microsoft Data Access Components (MDAC), un componente del sistema operativo che si interpone alla comunicazione fra un client e un database.

Un bug nel controllo ActiveX RDS.Dataspace parte di MDAC potrebbe consentire ad un cracker di eseguire codice da remoto, e prendere quindi pieno controllo della macchina bersaglio.

La debolezza interessa tutte le versioni di Windows, anche se aggiornate con gli ultimi Service Pack.

Poiché sono moltissime le applicazioni anche di terze parti che utilizzano MDAC per accedere alle base dati (soprattutto il sottoinsieme ADO!), è importante per tutti installare questo aggionamento alla primissima occasione utile.

• Bollettino Microsoft e download

Vulnerability in Windows Explorer.. (MS06-015)

Questo update sostituisce gli aggiornameti MS05-016 e MS05-008 rilasciati l'anno scorso, e come tale risolve questi ma anche nuovi problemi che potrebbero permettere ad un cracker di sfruttare alcuni bug nella shell di Windows per eseguire codice da remoto.

L'aggiornamento, classificato come critical, è vivamente raccomandato per le postazioni di lavoro domestiche e aziendali, mentre può essere tralasciato su server e sistemi "non presidiati".

• Bollettino Microsoft e download

Cumulative Security Update for Outlook Express (MS06-016)

Questo update per Outlook Express risolve invece una debolezza relativa all gestione dei file .WAB (Windows Address Book) da parte parte del mailer Microsoft.

Un cracker potrebbe infatti confezionare un documento .WAB malformato che, se aperto su una macchina non debitamente aggiornata, consentirebbe l'esecuzione di codice da remoto a discrezione dell'aggressore.

La debolezza è classificata giustamente Important, cioè uno scalino in meno rispetto alle altre debolezza del mese: per poter essere sfruttata infatti, l'utente dovrebbe salvare il file .WAB sul desktop, e quindi farvi doppio click sopra. Secondo quanto affermato da Microsoft non sarebbe quindi possibile rimanere compromessi semplicemente visualizzando una e-mail infetta.

Personalmente mi sento di segnalare questa patch solo in ambienti mission-critical, in cui la sicurezza sia una priorità massima. Per tutte le altre realtà, raccomando di ignorare l'hotfix, e di non aprire documenti, programmi o qualsiasi altro allegato inatteso.

• Bollettino Microsoft e download

Vulnerability in Microsoft FrontPage Server Extensions... (MS06-017)

Le Estensioni Server di Frontpage sono ancora una volta sotto i riflettori per problemi di sicurezza.

Una debolezza nel modo in cui le Estensioni validano i parametri potrebbe consentire ad un cracker di portare attacchi di tipo Cross Site Scripting (XSS).

Purtroppo Microsoft è piuttosto sibillina nel discutere la vulnerabilità, e si limita ad affermare che sfruttando tale falla, un aggressore potrebbe prendere pieno controllo di un server che utilizzasse questa tecnologia.

Se la patch può essere tranquillamente ignorata sui sistemi domestici, raccomando alle aziende che utilizzassero sui propri server FPSE di valutare gli eventuali rischi.

• Bollettino Microsoft e download