Dei sette nuovi aggiornamenti proposti, diversi riguardano la suite per l’office automation, un paio sono rivolti a Windows e uno è destinato agli utenti di SQL Server
Il “patch day” Microsoft di ottobre porta con sé sette
nuovi aggornamenti di sicurezza molti dei quali, questo mese, riguardano le
varie versioni della suite Office; un paio di bollettini interessano il sistema
operativo mentre uno è destinato agli utenti di Microsoft SQL Server.
Dei sette aggiornamenti pubblicati uno è indicato come ad
elevata criticità mentre gli altri sono stati bollati come
“importanti”. Presentiamoli in breve:
L’installazione di quest’aggiornamento è indicata a tutti gli
utenti di Office 2003, 2007 e 2010 oltre che a coloro che hanno
installato il software Microsoft Word Viewer od il Pacchetto di
compatibilità Microsoft Office SP2/SP3.
Applicando la patch si eviterà l’esecuzione di codice
potenzialmente dannoso nel momento in cui si dovesse aprire un documento RTF
“malevolo” oppure se ne dovesse visualizzare l’anteprima. Patch
“critica”.
Anche in questo caso, l’installazione dell’aggiornamento
previene i rischi di esecuzione di codice dannoso nel momento in cui si dovesse
tentare di aprire un documento Word “confezionato ad arte”
utilizzando il software Microsoft Works. Il bollettino interessa gli utenti di Microsoft
Works 9. Patch “importante”.
Quest’aggiornamento riguarda numerosi software Microsoft
(InfoPath, Communicator, Lync, SharePoint, Groove Server, Office Web Apps 2010)
e consente di risolvere una lacuna di sicurezza nella gestione di documenti
HTML. Qualora un aggressore riuscisse ad inviare all’utente vulnerabile un
documento HTML costruito appositamente per far leva sulla falla, questi
potrebbe acquisire privilegi utente più elevati ed avviare attacchi del tipo
cross-site scripting (vedere Vulnerabilità
XSS: scopriamo perché sono pericolose). Patch
“importante”.
Questo aggiornamento è destinato solamente agli utenti di Microsoft
FAST Search Server 2010 per SharePoint SP1. In assenza della patch
risolutiva, un aggressore potrebbe eseguire codice nocivo utilizzando gli
stessi privilegi dell’utente. Patch “importante”.
L’aggiornamento consente di risolvere una vulnerabilità
segnalata privatamente ai tecnici Microsoft e rilevata in tutte le versioni di
Microsoft Windows, fatta eccezione per Windows 8 e Windows Server 2012. La
vulnerabilità può consentire l’acquisizione di privilegi più elevati se un
utente malintenzionato accede al sistema ed esegue un’applicazione
appositamente predisposta. Per sfruttare la vulnerabilità, è necessario
disporre di credenziali di accesso valide ed essere in grado di effettuare il
login sul sistema locale. Patch “importante”.
– Una
vulnerabilità in Kerberos può consentire un attacco di tipo Denial of Service
(MS12-069)
Allorquando un aggressore riuscisse ad inviare ad un server
Kerberos una richiesta di sessione appositamente predisposta, questi potrebbe
provocare un attacco del tipo Denial of Service (DoS). Microsoft osserva
comunque che “le configurazioni predefinite dei firewall e le procedure
consigliate per la configurazione degli stessi consentono di proteggere le reti
dagli attacchi sferrati dall’esterno del perimetro aziendale“. La
patch, “importante”, riguarda Windows 7 e Windows Server 2008 R2.
– Una
vulnerabilità in SQL Server può consentire l’acquisizione di privilegi più
elevati (MS12-070)
Questa patch è stata sviluppata per risolvere un problema di
sicurezza sui sistemi che utilizzano SQL Server 2005, 2008 e 2012 insieme con SQL
Server Reporting Services (SSRS). Un malintenzionato, acquisendo privilegi
più elevati, potrebbe riuscire ad eseguire comandi arbitrari sul sito SSRS nel
contesto dell’utente preso di mira. Patch “importante”.
A corollario del “patch day” odierno, come di
consuetudine, Microsoft ha rilasciato anche un nuovo aggiornamento per il suo
“Strumento di rimozione malware“, giunto alla versione 4.13.
Il prossimo appuntamento con il
“patch day” di Microsoft è fissato per martedì 13 novembre.
