Il secondo martedì del mese è un giorno cruciale per chiunque si occupi della protezione dei computer Windows, infatti è il giorno scelto da Microsoft per rilasciare le sue famose patch di sicurezza.
Il “Patch Tuesday” di questo mese includeva aggiornamenti di sicurezza per Internet Explorer, Microsoft Edge, Microsoft Windows, Microsoft Office, Adobe Flash Player e altri software, che risolvono oltre 50 vulnerabilità di sicurezza.
Le patch principali hanno ottenuto il livello più alto di gravità, quello “critico”. Ciò significa che secondo il team di sicurezza di Microsoft gli hacker avrebbero potuto sfruttare queste falle per attaccare i sistemi da remoto, per esempio rilasciando dei malware progettati per individuare i computer vulnerabili e installarsi all’insaputa dell’utente.
Uno dei bug di sicurezza più preoccupanti tra quelli risolti dalle patch è relativo a un problema di corruzione della memoria in Outlook (CVE-2018-0852), che potrebbe consentire a un utente malintenzionato di ingannare il computer iniettandovi del codice malevolo.
L’attacco può essere attivato aprendo un allegato boobytrapped, visitando una pagina Web infetta o semplicemente visualizzando un messaggio dannoso nell’anteprima di Outlook.
Secondo Microsoft un hacker potrebbe approfittare del difetto in questi modi:
Lo sfruttamento della vulnerabilità richiede che un utente apra un file appositamente creato allo scopo con una versione di Microsoft Outlook non ancora aggiornata con la patch. In uno scenario di attacco via posta elettronica, un utente malintenzionato può utilizzare la vulnerabilità inviando uno di questi file pericolosi alla potenziale vittima e convincendola con l’inganno ad aprire il file.
In uno scenario di attacco basato sul Web, un malintenzionato può utilizzare un proprio sito Web creato ad hoc (o uno già compromesso) che contiene un file creato per sfruttare la vulnerabilità, però con la difficoltà di dover costringere la potenziale vittima a visitarlo. Per superare tale difficoltà molto probabilmente i criminali cercherebbero di indurre l’utente ad accedere al sito sfruttando email o messaggi istantanei che prevedano contenuti convincenti in grado di portare le vittime a cliccare sul collegamento al sito pericoloso.
Sebbene non ci siano ancora prove che gli hacker stiano sfruttando questo difetto di Outlook, il fatto che un computer possa essere compromesso tramite l’anteprima del famoso client di posta lo rende particolarmente pericoloso. L’installazione di questa patch, quindi, dovrebbe essere una priorità.
Sono stati risolti inoltre una serie di altri bug di sicurezza critici in Edge e Internet Explorer, che potrebbero consentire l’esecuzione di codice da remoto semplicemente visitando una pagina Web dannosa.
Anche se Microsoft si è indubbiamente impegnata questo mese risolvendo moltissime vulnerabilità, c’è almeno una seria problematica di sicurezza, recentemente individuata in un prodotto Microsoft, che non è stata affrontata questa volta.
Lo scorso settembre infatti, il ricercatore della sicurezza Stefan Kanthak ha riferito a Microsoft di un difetto nel modo in cui l’app desktop Skype si aggiorna e che potrebbe essere sfruttata per consentire a un utente con privilegi limitati di ottenere il controllo completo sul sistema.
Microsoft ha confermato a Kanthak il problema, ma gli ha riferito che sarebbe stato risolto solo con una nuova versione del software, piuttosto che tramite un aggiornamento di sicurezza a causa della “quantità di codice da revisionare” richiesto.
Purtroppo però non finisce qui, c’è un’altra problematica di sicurezza.
Il mese scorso Microsoft ha avvertito che alcune soluzioni di sicurezza erano incompatibili con la sua soluzione al bug Meltdown della CPU e di conseguenza i sistemi che li adottavano non avrebbe ricevuto ulteriori patch MS fino a quando quei prodotti non avessero risolto i problemi evidenziati.
Fortunatamente la maggior parte dei principali antivirus sono ora conformi, e i clienti ESET – per esempio – non hanno nulla di cui preoccuparsi, dato che i loro prodotti di sicurezza sono compatibili con la patch di Microsoft per Meltdown Intel Flaw.
ESET Italia ovviamente consiglia di applicare gli ultimi aggiornamenti del sistema e di eseguire il backup dei dati prima di applicare le patch, per recuperarli facilmente in caso di problematiche. Infine, per tutti gli utenti ESET ricordiamo che da novembre sono disponibili le versioni 2018 di ESET NOD32 Antivirus, ESET Internet Security ed ESET Smart Security Premium installabili gratuitamente per tutti i clienti con una licenza in corso di validità.
Lascia un commento