Video: IE Zero Day Emergency Patch, Windows Sandbox, New ThinScale Product & More | Dec 20th 2018 (Novembre 2024)
Microsoft ha rilasciato cinque patch, due classificate come "Critiche" e tre come "Importanti", risolvendo 23 vulnerabilità in Internet Explorer, Microsoft Windows e Silverlight come parte dell'aggiornamento Patch di marzo di marzo. La patch IE ha anche chiuso i vulnerabilità zero-day che gli aggressori sfruttano da febbraio.
Gli aggressori hanno sfruttato la vulnerabilità critica zero-day (CVE-2014-0322) in Internet Explorer 10 il mese scorso come parte dell'Operazione SnowMan, che ha compromesso il sito Web appartenente ai veterani statunitensi delle guerre straniere, nonché in un diverso attacco che impersona un francese produttore aerospaziale. La patch IE (MS14-022) chiude questo difetto e altri 17, incluso uno che è stato usato in attacchi mirati limitati contro Internet Explorer 8 (CVE-2014-0324), Dustin Childs, un manager del gruppo di Microsoft Trustworthy Computing, ha scritto sul blog del Microsoft Security Response Center.
"Ovviamente l'aggiornamento di IE dovrebbe essere la tua massima priorità", ha detto Childs.
Problemi con Silverlight
L'altra patch critica corregge un difetto di esecuzione del codice remoto critico in DirectShow e influisce su più versioni di Windows. La vulnerabilità sta nel modo in cui le immagini JPEG vengono analizzate da DirectShow, rendendo probabile che gli attacchi che sfruttano questo difetto inseriranno immagini dannose all'interno di pagine Web compromesse o incorporate in documenti, ha affermato Marc Maiffret, CTO di BeyondTrust. Vale la pena notare che gli utenti in esecuzione con privilegi di non amministratore saranno meno colpiti da questi attacchi perché l'attaccante sarà limitato nel danno che può causare.
Il bypass delle funzioni di sicurezza in Silverlight è considerato "importante", ma dovrebbe anche avere una priorità abbastanza elevata. Gli aggressori possono sfruttare il difetto indirizzando gli utenti a un sito dannoso contenente contenuti Silverlight appositamente predisposti, ha affermato Microsoft. La cosa pericolosa è che gli aggressori possono aggirare ASLR e DEP, due tecnologie di mitigazione degli exploit integrate in Windows sfruttando questa vulnerabilità, ha avvertito Maiffret. Un utente malintenzionato avrebbe bisogno di un exploit secondario per ottenere l'esecuzione di codice in modalità remota dopo aver bypassato ASLR e DEP per ottenere il controllo del sistema, come il difetto di bypass ASLR corretto in dicembre (MS13-106). Mentre attualmente non ci sono attacchi che sfruttano questo difetto in natura, gli utenti dovrebbero bloccare l'esecuzione di Silverlight in Internet Explorer, Firefox e Chrome fino all'applicazione della patch, ha affermato Maiffret. È anche importante assicurarsi che siano state distribuite anche patch più vecchie.
Microsoft dovrebbe rinunciare a Silverlight poiché "vede molte patch date la sua adozione limitata", ha suggerito Tyler Reguly. Poiché Microsoft continuerà a supportarlo fino almeno al 2021, le organizzazioni dovrebbero iniziare a migrare da Silverlight in modo che "tutti noi possiamo disinstallare Silverlight e aumentare efficacemente la sicurezza dei sistemi degli utenti finali", ha aggiunto.
Patch Microsoft rimanenti
Un'altra patch che dovrebbe essere applicata prima piuttosto che successivamente è quella che affronta una coppia di vulnerabilità legate all'acquisizione di privilegi più elevati Driver di modalità kernel di Windows (MS14-014) in quanto influisce su tutte le versioni supportate di Windows (per questo mese, che include ancora Windows XP). Per sfruttare questo difetto, l'attaccante "deve disporre di credenziali di accesso valide ed essere in grado di accedere localmente", ha avvertito Microsoft.
La patch finale risolve i problemi nel protocollo SAMR (Security Account Manager Remote) che consente agli aggressori di forzare gli account Active Directory e di non essere bloccati fuori dall'account. La patch corregge la chiamata dell'API in modo che Windows blocchi correttamente gli account quando sono sotto attacco. "Le politiche di blocco dei tentativi di password sono messe in atto specificamente per prevenire i tentativi di forza bruta e consentire a un utente malintenzionato di aggirare la politica sconfigge completamente la protezione che fornisce", ha affermato Reguly.
Altri aggiornamenti software
Questa è la settimana per gli aggiornamenti del sistema operativo. Apple ha rilasciato iOS 7.1 all'inizio di questa settimana e Adobe ha aggiornato Adobe Flash Player (APSB14-08) per chiudere due vulnerabilità oggi. Adobe non ha attualmente sfruttato i problemi allo stato brado.
Apple ha risolto alcuni problemi significativi in iOS 7, tra cui un problema relativo alla segnalazione di arresti anomali che poteva consentire a un utente locale di modificare le autorizzazioni su file arbitrari sui dispositivi interessati, un problema del kernel che poteva consentire una chiusura improvvisa del sistema o l'esecuzione di codice arbitrario nel kernel e un bug che consentiva a un utente non autorizzato di ignorare i requisiti di firma del codice sui dispositivi interessati. Apple ha anche corretto un bug che poteva consentire a un utente malintenzionato di indurre un utente a scaricare un'app dannosa tramite Download app aziendale e un'altra che consentiva a un file di backup pericoloso di modificare il file system iOS.
