Con il Patch Tuesday del mese di novembre 2023 Microsoft è intervenuta per correggere 63 vulnerabilità che impattano sul sistema operativo Windows e in altri prodotti: cinque sono di tipo zero-day che, secondo la classificazione Microsoft, sono state divulgate pubblicamente o sfruttate attivamente prima del rilascio di una correzione ufficiale.
In particolare, il vendor ha confermato che tre di queste (tracciate come CVE-2023-36036, CVE-2023-36033 e CVE-2023-36025) risultano essere sfruttate attivamente in rete.
Delle 63 falle, tre sono classificate come critiche, 56 come importanti e quattro hanno ottenuto un indice di gravità moderato.
Tutte le vulnerabilità sono così classificate:
- 16 sono di tipo EoP (Elevation of Privilege);
- 6 consentono il bypass delle funzioni di sicurezza;
- 19 sono di tipo RCE (Remote Code Execution);
- 6 di tipo ID (Information Disclosure);
- 5 di tipo Denial of Service;
- 11 di tipo spoofing.
Tutti i dettagli sul pacchetto cumulativo di aggiornamenti sono disponibili sulla pagina ufficiale Microsoft.
Indice degli argomenti
Aggiornamenti Microsoft novembre 2023: le vulnerabilità zero-day
Il Patch Tuesday del mese di novembre 2023 corregge, come dicevamo, cinque vulnerabilità zero-day, di cui tre che risultano essere già sfruttate in attacchi e tre divulgate pubblicamente.
Le tre vulnerabilità zero-day già attivamente sfruttate in rete e affrontate con gli ultimi aggiornamenti Microsoft sono le seguenti:
- CVE-2023-36036: identificata nel componente Windows Cloud Files Mini Filter Driver, è di tipo Elevation of Privilege (EoP) e ha ottenuto una classificazione CVSS v3 pari a 7.8 su 10.0. Un suo eventuale sfruttamento potrebbe consentire a un attaccante di acquisire privilegi di tipo “SYSTEM” sui sistemi target. Al momento non si hanno ulteriori dettagli su come la vulnerabilità sia stata sfruttata negli attacchi né su un’eventuale attribuzione a uno specifico attore della minaccia.
- CVE-2023-36033: identificata nel componente Windows DWM Core Library, è anch’essa di tipo Elevation of Privilege (EoP) e ha ottenuto un punteggio CVSS v3 di 7.8 su 10.0. Qualora venisse sfruttata, la vulnerabilità potrebbe consentire a un attaccante di ottenere privilegi di tipo “SYSTEM” sui sistemi target. La falla risulta essere stata divulgata pubblicamente. Anche in questo caso, Microsoft non ha condiviso i dettagli su come sia stata utilizzata negli attacchi.
- CVE-2023-36025: identificata nel componete Windows SmartScreen, è di tipo “Security Feature Bypass”, ossia può consentire di bypassare le funzionalità di sicurezza del sistema operativo. La vulnerabilità ha ottenuto un punteggio CVSS v3 pari a 8.8 su 10.0. Il suo sfruttamento può consentire a un utente malintenzionato di aggirare il meccanismo di sicurezza Windows Defender Smartscreen inducendo la vittima a cliccare su collegamento Internet (.URL) appositamente creato o su un collegamento ipertestuale che punta a un file di collegamento Internet.
Le altre due vulnerabilità corrette da Microsoft in occasione del Patch Tuesday di novembre 2023 sono le seguenti:
- CVE-2023-36413, identificata in Microsoft Office. Di tipo “Security Feature Bypass, ha ottenuto un punteggio CVSS v3 pari a 6.5 su 10.0. Se sfruttata, potrebbe consentire a un attaccante di aggirare il meccanismo Office Protected View tramite l’utilizzo di file opportunamente predisposti, consentendo l’apertura dei documenti in modalità “Modifica” anziché in modalità “Protetta”.
- CVE-2023-36038: identificata nel componente ASP.NET Core, è di tipo Denial of Service (DoS) e ha ottenuto un punteggio CVSS v3 di 8.2 su 10.0. Tale vulnerabilità potrebbe compromettere la disponibilità del servizio tramite l’annullamento delle richieste HTTP in esecuzione su istanze IIS con specifica configurazione.
Installiamo gli aggiornamenti Microsoft
Alla luce delle vulnerabilità critiche corrette dal Patch Tuesday di questo mese è importante procedere quanto prima all’aggiornamento dei sistemi per non esporli a un elevato rischio di attacco informatico.
Windows è già configurato per controllare periodicamente la disponibilità di aggiornamenti critici e importanti, per cui non c’è bisogno di effettuare manualmente il controllo. Quando un aggiornamento è disponibile, viene scaricato e installato automaticamente, mantenendo il dispositivo aggiornato con le funzionalità e i miglioramenti di sicurezza più recenti.
Per verificare subito la disponibilità degli aggiornamenti Microsoft, in Windows 10 è sufficiente cliccare sul pulsante Start, quindi, spostarsi nella sezione Impostazioni/Aggiornamento e sicurezza/Windows Update e selezionare Controlla aggiornamenti.
In Windows 11, invece, è sufficiente cliccare sul pulsante Start, selezionare Impostazioni/Windows Update, cliccare su Verifica disponibilità aggiornamenti e procedere, in caso, con l’installazione delle patch.
In tutte le altre versioni recenti di Windows è invece opportuno abilitare il servizio Windows Update dal Pannello di controllo e configurarlo affinché scarichi e installi automaticamente gli aggiornamenti rilasciati da Microsoft sia per il sistema operativo sia per le singole applicazioni.
Il consiglio è quello di eseguire il backup del sistema o quantomeno dei propri file e cartelle più importanti prima di applicare uno qualsiasi degli aggiornamenti presenti nel pacchetto cumulativo appena rilasciato.
