Come preannunciato la scorsa settimana dal CERT-SPC, Microsoft ha pubblicato 5 bollettini di sicurezza per correggere molteplici vulnerabilità di sicurezza che interessano Microsoft Windows e relativi componenti oltre ai software Microsoft Excel e Sharepoint della suite Office. Alcuni degli aggiornamenti di sicurezza su varie configurazioni possono richiedere il riavvio dei sistemi. Si raccomanda, pertanto, di provvedere tempestivamente ad aggiornare i sistemi vulnerabili con particolare attenzione alle postazione degli utenti finali e dei computer portatili o dispositivi mobili considerando, altresì, anche gli altri aggiornamenti software rilasciati, sempre nella medesima giornata odierna, relativi alla tecnologia Adobe. Gli aggiornamenti software di Microsoft, come pure quelli di Adobe, preventivamente annunciati dal CERT-SPC, ricadono entrambi nel ciclo di manutenzione e correzione del software.

Adobe ha pubblicato un avviso (APSB11-24) circa il prossimo rilascio (Martedì 13 Settembre) di software correttivo per Acrobat e Reader interessati da molteplici vulnerabilità sfruttabili da remoto ed in grado di compromettere la sicurezza delle postazioni informatiche utilizzate dagli utenti finali in considerazione della tipologia del software vulnerabile. Le versioni interessate riguardano i sistemi operativi Microsoft Windows e Mac ed interessano le seguenti versioni di prodotto:

• Adobe Acrobat X 10.1 e versioni precedenti
• Adobe Acrobat 9.4.5 e versioni precedenti
• Adobe Acrobat 8.3 e versioni precedenti
• Adobe Reader 9.4.3 e versioni precedenti
• Adobe Reader X 10.1 e versioni precedenti

Si ricorda che nella stessa data Microsoft pubblicherà 5 bollettini di sicurezza nell'ambito del programma mensile di aggiornamento del software, per correggere 15 vulnerabilità che interessano Microsoft Windows, Microsoft Office e componenti software di alcune versioni server.

Ulteriori dettagli sono disponibili presso le seguenti URL:

• http://www.adobe.com/support/security/bulletins/apsb11-24.html
• http://blogs.technet.com/b/msrc/archive/2011/09/08/advanced-notification-for-the-september-2011-bulletin-release.aspx

Il CERT-SPC ha pubblicato nella categoria vulnerabilità della sezione bollettini gli aggiornamenti di seguito indicati relativi alle vulnerabilità segnalate:

• http://www.cert-spc.it/index.php/bollettini/vulnerabilita/497-adobe-aggiornamento-di-sicurezza-quadrimestrale-settembre-2011.html
• http://www.cert-spc.it/index.php/bollettini/vulnerabilita/496-microsoft-aggiornamenti-di-sicurezza-per-il-mese-di-settembre-2011.html

Microsoft, nell'ambito del programma mensile di correzione del software, ha rilasciato 13 bollettini di sicurezza destinati a risolvere numerose vulnerabilità che interessano differenti tecnologie e piattaforme. I bollettini sono classificati secondo la metrica Microsoft, con livello di pericolosità critico ed importante ed in alcune configurazioni possono richiedere il riavvio dei sistemi interessati.

MS11-057: il bollettino corregge 7 differenti vulnerabilità - di cui solo due precedentemente pubblicate e rese note - relative ad Internet Explorer, nelle versioni da 6 a 9 (CVE-2011-1257, CVE-2011-1260, CVE-2011-1261, CVE-2011-1262, CVE-2011-1263, CVE-2011-1264,CVE-2011-2383). La più severa può consentire l'esecuzione di codice arbitrario nel caso in cui l'utente del sistema interessato visualizzi con il citato browser una pagina web realizzata appositamente per sfruttare la vulnerabilità lato client; in questo caso l'attaccante può ottenere i medesimi privilegi dell'utente locale, pertanto l'insidiosità di questa vulnerabilità è maggiore per quegli utenti che operano con privilegi amministrativi.

http://www.microsoft.com/technet/security/bulletin/ms11-057.mspx

MS11-058: l'aggiornamento risolve 2 vunerabilità segnalate privatamente e relative a Windows DNS Server (CVE-2011-1966, CVE-2011-1970); la più severa delle vulnerabilità potrebbe consentire l'esecuzione di codice sul sistema interessato nel caso in cui un attaccante realizzi ed invii una query NAPTR ad un server con il servizio DNS abilitato e non corretto.

http://www.microsoft.com/technet/security/bulletin/ms11-058.mspx

MS11-059: il bollettino corregge una vulnerabilità relativa a Windows 7 e Windows Server 2008 R2 (CVE-2011-1975) che può essere sfruttata da un attaccante inducendo un utente ad aprire un file di tipo Excel (.xls), ed ottenendo i medesimi privilegi dell'utente stesso.

http://www.microsoft.com/technet/security/bulletin/ms11-059.mspx

MS11-060: il bollettino contiene l'aggiornamento di due precedenti vulnerabilità segnalate privatamente e relative all'applicativo Microsoft Visio (CVE-2011-1972, CVE-2011-1979), e sfruttabili da un attaccante che induca un utente ad aprire un file di tipo Visio appositamente creato, consentendogli di ottenere i medesimi privilegi sul sistema.

http://www.microsoft.com/technet/security/bulletin/ms11-060.mspx

MS11-061: l'aggiornamento risolve una vulnerabilità di tipo cross-site scripting (XSS), presente nel Remote Desktop Web Access di Windows Server 2008 R2 (CVE-2011-1263), che potrebbe consentire ad un attaccante l'acquisizione di privilegi e l'esecuzione di codice arbitrario sul sistema esposto. Il filtro XSS presente nelle versioni 8 e 9 di Internet Explorer previene questo attacco nel caso in cui l'utente acceda ad un server su Internet mediante il Remote Desktop Web Access; la stessa protezione non è abilitata di default per i server presenti sulla Intranet.

http://www.microsoft.com/technet/security/bulletin/ms11-061.mspx

MS11-062: questo aggiornamento risolve una vulnerabilità presente in tutte le versioni di Windows XP and Windows Server 2003 (CVE-2011-1974), correggendo le modalità con cui i driver NDISTAPI validano le richieste dell'utente.

http://www.microsoft.com/technet/security/bulletin/ms11-062.mspx

MS11-063: questo bollettino risolve una vulnerabilità relativa al sistema operativo Microsoft Windows XP, Windows XP Professional, Windows Vista, Windows 7, Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2 (CVE-2011-1967), che può consentire l'elevazione di pivilegi se un attaccante è in grado di autenticarsi con credenziali valide su di una rete locale.

http://www.microsoft.com/technet/security/bulletin/ms11-063.mspx

MS11-064: il bollettino corregge due vulnerabilità  segnalate privatamente inerenti lo Stack TCP/IP di Windows, che possono consentire condizioni di tipo Denial of Service dei sistemi interessati (CVE-2011-1871, CVE-2011-1965).Un attaccante potrebbe sfruttare la citata vulnerabilità inviando una speciale sequenza di pacchetti Internet Control Message Protocol (ICMP) realizzati ad hoc ad un sistema vulnerabile, oppure inviando una richiesta URL realizzata ad hoc ad un server Web con abilitata la funzionalità URL-based Quality of Service (QoS).

http://www.microsoft.com/technet/security/bulletin/ms11-064.mspx

MS11-065: l'aggiornamento  corregge una vulnerabilità segnalata privatamente e relativa al protocollo Remote Desktop che può consentire condizioni di tipo Denial of Service dei sistemi interessati (CVE-2011-1968). Un attaccante potrebbe sfruttare la citata vulnerabilità inviando una speciale sequenza di pacchetti RDP realizzati ad hoc ad un sistema vulnerabile; tale protocollo non è attivato nell'installazione base del sistema operativo

http://www.microsoft.com/technet/security/bulletin/ms11-065.mspx

MS11-066: il bollettino corregge una vulnerabilità inerente Microsoft Chart Controls (CVE-2011-1977)che può consentire la compromissione della riservatezza delle informazioni dei sistemi interessati. Un attaccante potrebbe sfruttare la citata vulnerabilità inviando una richiesta HTTP GET realizzata ad hoc ad un server che ospita i Microsoft Chart Controls di ASP.NET. E' da notare inoltre che lo sfruttamento della vulnerabilità non consente l'esecuzione di codice arbitrario o l'elevazioni dei privilegi utente ma l'acquisizione di informazioni riservate del sistema che potrebbero essere utilizzate in un attacco successivo. Risultano vulnerabili i soli sistemi su cui sono stati installati i Microsoft Chart Controls in quanto non sono inclusi nell'installazione base dell'ambiente .NET.

http://www.microsoft.com/technet/security/bulletin/ms11-066.mspx

MS11-067: l'aggiornamento  corregge una vulnerabilità inerente Microsoft Report Viewer (CVE-2011-1976) che può consentire la compromissione della riservatezza delle informazioni dei sistemi interessati. Un attaccante per sfruttare la citata vulnerabilità deve indurre un utente a visitare una pagina Web realizzata ad hoc.

http://www.microsoft.com/technet/security/bulletin/ms11-067.mspx

MS11-068: il bollettino corregge una vulnerabilità segnalata privatamente (CVE-2011-1971) inerente il Kernel di Windows che può consentire condizioni di tipo Denial of Service  dei sistemi interessati; un attaccante per sfruttare la citata vulnerabilità deve indurre un utente a visitare una cartella condivisa (o una pagina Web contenente un collegamento ad una cartella condivisa) contenente un file realizzato ad hoc.

http://www.microsoft.com/technet/security/bulletin/ms11-068.mspx

MS11-069: l'aggiornamento corregge una vulnerabilità segnalata privatamente inerente il Framework .NET che può consentire la compromissione della riservatezza delle informazioni dei sistemi interessati (CVE-2011-1978). Un attaccante per sfruttare la citata vulnerabilità deve indurre un utente a visitare una pagina Web realizzata ad hoc mediante un browser in grado di eseguire applicazioni XAML Browser Application (XBAP). La vulnerabilità inoltre può essere sfruttata per eludere il Code Access Security (CAS) mediante applicazioni Windows.NET.

http://www.microsoft.com/technet/security/bulletin/ms11-069.mspx