Microsoft ha rilasciato oltre 60 correzioni di sicurezza e aggiornamenti che risolvono problemi, tra cui un difetto di esecuzione del codice remoto (RCE) in MSHTML e altri bug critici.
L'ultimo round di Redmond del gigante di patch, di solito rilasciate il secondo martedì di ogni mese in quello che è noto come Patch Tuesday, sono arrivate il 14 settembre.
I prodotti interessati dall'aggiornamento della sicurezza di settembre includono Azure Open Management Infrastructure, Azure Sphere, Office Excel, PowerPoint, Word e Access; il kernel, Visual Studio, DNS di Microsoft Windows e BitLocker, tra gli altri software.
Continua a leggere:
Microsoft Teams: questa nuova funzionalità renderà le tue riunioni più interattive
Qual è il browser Web Windows 10 più veloce nel 2021?
Il 7 settembre, Microsoft ha dichiarato che un difetto di esecuzione del codice remoto in MSHTML era stato identificato e veniva utilizzato in un numero limitato di attacchi contro i sistemi Windows. La vulnerabilità zero-day, tracciata come CVE-2021-40444, è stata risolta in questo round di patch e l'azienda sta esortando gli utenti ad accettare immediatamente la correzione di sicurezza.
Alcune altre vulnerabilità importanti risolte in questo aggiornamento sono:
CVE-2021-38647: con un punteggio CVSS di 9,8, questo è il bug più critico nell'elenco di settembre. Questa vulnerabilità ha un impatto sul programma Open Management Infrastructure (OMI) e consente agli aggressori di eseguire attacchi RCE senza autenticazione inviando messaggi dannosi tramite HTTPS alla porta 5986.
“Alcuni prodotti Azure, come Configuration Management, espongono una porta HTTP/S per l'interazione con OMI (porta 5986 nota anche come WinRMport)”, afferma Microsoft. “Questa configurazione in cui è abilitato il listener HTTP/S potrebbe consentire l'esecuzione di codice remoto. È importante ricordare che la maggior parte dei servizi di Azure che utilizzano OMI lo distribuiscono senza esporre la porta HTTP/S.”
CVE-2021-36968: Una vulnerabilità zero-day relativa all'escalation dei privilegi DNS di Windows divulgata pubblicamente, ha emesso un punteggio CVSS di 7,8. Microsoft non ha ancora trovato alcuna prova di sfruttamento in natura.CVE-2021-26435: Un difetto critico (CVSS 8.1) nel motore di scripting di Microsoft Windows. Tuttavia, questo difetto di danneggiamento della memoria richiede l'attivazione dell'interazione dell'utente.
CVE-2021-36967: una vulnerabilità, ritenuta critica e con un punteggio CVSS di 8.0, nel servizio Windows WLAN AutoConfig che può essere utilizzato per l'elevazione dei privilegi.
Secondo la Zero Day Initiative (ZDI), i 66 CVE, inclusi tre critici, uno moderato e il resto ritenuto importante, rivelano un volume leggermente superiore al tasso medio di patch nel 2021, mentre questo è ancora inferiore al volume del 2020. Inoltre, 20 CVE sono stati corretti da Microsoft Edge (Chromium) all'inizio di settembre. In totale, 11 di queste vulnerabilità sono state presentate tramite la Zero Day Initiative, per un totale di 86 CVE.
Mercoledì, Microsoft ha avvertito di “Azurescape”, una vulnerabilità mitigata dal gigante di Redmond che ha un impatto su Azure Container Instances (ACI). Il bug è stato segnalato da un ricercatore di Palo Alto Networks.
Il mese scorso, Microsoft ha risolto 44 vulnerabilità nel batch di correzioni di sicurezza di agosto. In totale, tre sono stati classificati come difetti zero-day e 13 hanno permesso agli aggressori di eseguire attacchi RCE. Nel rilascio della patch era inclusa una correzione per una vulnerabilità di Windows Print Spooler ben pubblicizzata che poteva essere utilizzata come arma ai fini dell'escalation dei privilegi locali.
Un mese prima, il gigante della tecnologia ha affrontato 117 bug durante la patch di luglio Martedì.
In altre notizie sulla sicurezza, Apple ha corretto una vulnerabilità zero-day, secondo quanto riferito, sfruttata da NSO Group per spiare gli utenti di prodotti Mac, iPhone, iPad e Watch. Inoltre, Google ha rilasciato un aggiornamento di sicurezza che risolve due bug zero-day attivamente sfruttati in natura.
Oltre al round di patch del martedì di Microsoft, anche altri fornitori hanno pubblicato aggiornamenti di sicurezza a cui è possibile accedere di seguito.
Aggiornamenti di sicurezza AdobeAggiornamenti di sicurezza SAP Avvisi di sicurezza VMwareAggiornamenti di sicurezza Intel
Argomenti correlati:
Data center CXO per la gestione dei dati di Microsoft Security TV