Microsoft ha rilasciato il Patch Tuesday di novembre contenente gli aggiornamenti di sicurezza per correggere 112 nuove vulnerabilità. Di queste, 17 sono state classificate come critiche e potrebbero essere sfruttate da malware per acquisire un controllo completo e remoto su un computer Windows vulnerabile senza alcun aiuto da parte degli utenti.
Altre 93 vulnerabilità sono state classificate come importanti, il che vuol dire che un loro eventuale sfruttamento potrebbe compromettere la riservatezza, l’integrità o la disponibilità dei dati degli utenti o l’integrità o la disponibilità delle risorse di elaborazione del sistema target.
Infine, altre due vulnerabilità hanno un livello di gravità considerato moderato.
Così come spiegato un blog post, in occasione del Patch Tuesday di novembre Microsoft ha adottato una nuova politica di gestione dei bollettini di sicurezza, decidendo di ristrutturarli usando il formato del Common Vulnerability Scoring System (CVSS) per allinearsi con gli avvisi di altri importanti fornitori di software. In questo modo, però, ha di fatto rimosso alcune informazioni utili relative, ad esempio, alla portata delle vulnerabilità individuate, a come potrebbero essere sfruttate e a quale potrebbe essere il risultato del loro exploiting.
Gli aggiornamenti interessano le varie versioni dei sistemi operativi Windows e del relativo software:
- Microsoft Windows
- Microsoft Office e Microsoft Office Services and Web Apps
- Internet Explorer
- Microsoft Edge (EdgeHTML-based)
- Microsoft Edge (Chromium-based)
- ChakraCore
- Microsoft Exchange Server
- Microsoft Dynamics
- Microsoft Windows Codecs Library
- Azure Sphere
- Windows Defender
- Microsoft Teams
- Azure SDK
- Azure DevOps
- Visual Studio
Indice degli argomenti
Aggiornamenti Microsoft novembre 2020, corretto lo zero-day scoperto da Google
Tra le vulnerabilità corrette con il pacchetto di aggiornamenti del Patch Tuesday di novembre 2020 c’è anche quella identificata come CVE-2020-17087 e scoperta dal team Project Zero di Google lo scorso mese di ottobre.
Si tratta di un bug “importante” scoperto nel Kernel Cryptography Driver di Windows che è stato già sfruttato attivamente in almeno un cyber attacco confermato. Microsoft ha ritenuto di non classificare la vulnerabilità come critica in quanto si tratta di un difetto di sicurezza di tipo EoP (escalation dei privilegi) che potrebbe permetterebbe a un aggressore che ha già compromesso un account utente con bassi privilegi sul sistema target di ottenere il controllo amministrativo.
In pratica, quindi, la vulnerabilità potrebbe essere sfruttata solo se contemporaneamente l’aggressore sfrutta un altro exploit.
Ed è proprio quello che i ricercatori del Google Project Zero hanno verificato essere accaduto in almeno un attacco andato a buon fine (e del quale, però, al momento non si conoscono ulteriori dettagli).
In pratica, lo scorso 20 ottobre Google ha rilasciato un aggiornamento per il browser Chrome che ha corretto un bug (CVE-2020-15999) sfruttato dai criminal hacker in combinazione con la vulnerabilità di Windows per compromettere gli utenti del sistema operativo Microsoft.
Aggiornamenti Microsoft: ecco come installarli
Agli utenti e agli amministratori di sistema si raccomanda vivamente di applicare le ultime patch di sicurezza il più presto possibile per tenere gli hacker e i criminali informatici lontani dal prendere il controllo dei loro sistemi.
Windows 10 è già configurato per controllare periodicamente la disponibilità di aggiornamenti critici e importanti, quindi non c’è bisogno di effettuare manualmente il controllo. Quando un aggiornamento è disponibile, viene scaricato e installato automaticamente, mantenendo il dispositivo aggiornato con le funzionalità e i miglioramenti di sicurezza più recenti.
Per verificare subito la disponibilità degli aggiornamenti Microsoft di novembre 2020, è sufficiente cliccare sul pulsante Start, quindi spostarsi nella sezione Impostazioni/Aggiornamento e sicurezza/Windows Update e selezionare Controlla aggiornamenti.
In tutte le altre versioni recenti di Windows è invece opportuno abilitare il servizio Windows Update dal Pannello di controllo e configurarlo affinché scarichi e installi automaticamente gli aggiornamenti rilasciati da Microsoft sia per il sistema operativo sia per le singole applicazioni.
Il consiglio, è quello di eseguire il backup del sistema o quantomeno dei propri file e cartelle più importanti prima di applicare uno qualsiasi degli aggiornamenti presenti nel pacchetto cumulativo appena rilasciato.
I dettagli su tutte gli aggiornamenti di sicurezza contenuti nel Patch Tuesday di novembre 2020 sono disponibili sulla pagina ufficiale Microsoft.
