In occasione del Patch Tuesday di settembre, Microsoft ha rilasciato un nuovo pacchetto di aggiornamenti di sicurezza che correggono un totale di 129 nuove vulnerabilità scoperte in varie versioni dei suoi sistemi operativi e del relativo software:
- Microsoft Windows
- Edge browser
- Internet Explorer
- ChakraCore
- SQL Server
- Exchange Server
- Office
- ASP.NET
- OneDrive
- Azure DevOps
- Visual Studio
- Microsoft Dynamics
Delle 129 vulnerabilità corrette, 23 sono classificate come critiche, 105 come importanti e soltanto una di moderata gravità.
A differenza degli ultimi mesi, nessuna delle nuove vulnerabilità che il gigante della tecnologia ha patchato risulta essere nota al pubblico o sfruttata in attacchi attivi.
Indice degli argomenti
Aggiornamenti Microsoft di settembre: le vulnerabilità critiche
La vulnerabilità più grave corretta grazie al pacchetto di aggiornamenti del Patch Tuesday di settembre riguarda Microsoft Exchange ed è stata identificata come CVE-2020-16875. Secondo i ricercatori, si tratta di un problema di corruzione della memoria che può consentire l’esecuzione di codice da remoto (Remote Code Execution) semplicemente inviando un’e-mail al target.
L’esecuzione di codice arbitrario potrebbe garantire ad un attaccante di acquisire i diritti di accesso di cui ha bisogno per creare nuovi account, accedere, modificare o rimuovere i dati e installare programmi. In pratica, prendere il controllo completo del server.
La vulnerabilità riguarda solo le versioni 2016 e 2019 di Microsoft Exchange Server, ma l’ampio uso del software tra gli utenti business e il punteggio CVSS (Common Vulnerability Scoring System) di 9,1 suggerisce di installare il prima possibile la patch di sicurezza appena rilasciata.
In occasione del Patch Tuesday di settembre Microsoft ha corretto anche altri due difetti critici di tipo RCE nella Windows Codecs Library. Entrambi i problemi di sicurezza risiedono nel modo in cui la libreria gestisce gli oggetti in memoria: il primo, classificato come CVE-2020-1129, potrebbe essere sfruttato per ottenere informazioni che compromettano ulteriormente il sistema dell’utente; l’altro (classificato come CVE-2020-1319) potrebbe invece essere utilizzato per prendere il controllo del sistema target.
Dall’analisi delle vulnerabilità corrette con il Patch Tuesday di settembre si evidenziano altri due problemi di sicurezza dovuti all’esecuzione del codice a distanza che influenzano l’implementazione on-premise di Microsoft Dynamics 365. Il lato positivo è che entrambi richiedono l’autenticazione dell’aggressore, rendendo quindi più difficile lo sfruttamento delle vulnerabilità.
Da segnalare anche le patch per altre sei vulnerabilità critiche di esecuzione remota del codice individuate in SharePoint e una in SharePoint Server. Mentre lo sfruttamento della vulnerabilità in SharePoint Server richiede l’autenticazione, i difetti di sicurezza in SharePoint non lo richiedono e sono quindi più facilmente sfruttabili.
Infine, è importante segnalare che, oltre alle vulnerabilità RCE appena analizzate, la maggior parte di quelle corrette questo mese da Microsoft consentono la divulgazione di informazioni, l’elevazione dei privilegi di accesso al sistema target e attacchi di tipo Cross-Site Scripting. Altre, invece, potrebbero consentire di bypassare le funzioni di sicurezza del sistema e di portare a termine attacchi di tipo spoofing o DoS (Denial of Service, attacchi di negazione del servizio).
I dettagli su tutte le vulnerabilità corrette con il Patch Tuesday di settembre 2020 possono essere consultati direttamente sul portale Microsoft.
Ecco come installare gli aggiornamenti
Agli utenti e agli amministratori di sistema si raccomanda vivamente di applicare le ultime patch di sicurezza il più presto possibile per tenere gli hacker e i criminali informatici lontani dal prendere il controllo dei loro sistemi.
Windows 10 è già configurato per controllare periodicamente la disponibilità di aggiornamenti critici e importanti, quindi non c’è bisogno di effettuare manualmente il controllo. Quando un aggiornamento è disponibile, viene scaricato e installato automaticamente, mantenendo il dispositivo aggiornato con le funzionalità e i miglioramenti di sicurezza più recenti.
Per verificare subito la disponibilità degli aggiornamenti Microsoft di giugno 2020, è sufficiente cliccare sul pulsante Start, quindi spostarsi nella sezione Impostazioni/Aggiornamento e sicurezza/Windows Update e selezionare Controlla aggiornamenti.
In tutte le altre versioni recenti di Windows è invece opportuno abilitare il servizio Windows Update dal Pannello di controllo e configurarlo affinché scarichi e installi automaticamente gli aggiornamenti rilasciati da Microsoft sia per il sistema operativo sia per le singole applicazioni.
