Come preventivamente annunaciato dal CERT-SPC, Microsoft ha reso disponibili 10 aggiornamenti di sicurezza nell'ambito del programma mensile di rilascio del software correttivo classificati critic ed importanti. Il CER-SPC di seguito illustra esclusivamente i bollettini considerati critici ed importanti (9).

Da quando i principali produttori si software hanno deciso di adottare una politica di rilascio programmato degli aggiornamenti di sicurezza, possono verificarsi occorrenze come quella di questa settimana, durante la quale saranno pubblicati gli abituali aggiornamenti mensili di Microsoft (11 bollettini per 25 vulnerabilità), quelli trimestrali di Oracle (correttivi di 47 vulnerabilità) e di Adobe per Acrobat e Reader.

Se da un lato il ricorso a date predeterminate per il rilascio degli aggiornamenti consente anche una pianificazione delle risorse da impiegare per l'installazione delle patch, alcuni controindicazioni si ravvisano nel fatto che ogni tre mesi gli amministratori si trovano a dover gestire un così imponente intervento su sistemi e tecnologie di tale impatto e diffusione nei rispettivi ambienti. Tanto più se si considerano le best practice che impongono test e valutazioni di impatto prima di passare l'aggiornamento ai sistemi in produzione.

Appuntamento, allora, per il 13 Aprile!

Nella sezione bollettini sono illustrati gli aggiornamenti di sicurezza sopra annunciati.

• http://www.mozilla.org/security/announce/2010/mfsa2010-24.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-23.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-22.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-21.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-20.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-19.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-18.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-17.html
• http://www.mozilla.org/security/announce/2010/mfsa2010-16.html

Come in precedenza annunciato dal CERT-SPC, Microsoft ha revisionato i precedenti bollettini di sicurezza per il mese di Marzo rilasciando un bollettino straordinario (out of band) -  ovvero esterno al ciclo di rilascio pianificato degli aggiornamenti di sicurezza - per correggere oltre alla vulnerabilità di tipo "zero day" precedentemente segnalata (CVE-2010-0806), anche altre 9 vulnerabilità che interessano le seguenti versioni di Microsoft Internet Explorer:

•    Internet Explorer 5.01;
•    Internet Explorer 6 Service Pack 1;
•    Internet Explorer 7
•    Internet Explorer 8

Le vulnerabilità segnalate interessano il processo di allocazione della memoria che può essere alterato da un'attaccante remoto causando un buffer overflow che può consentire l'esecuzione di codice arbitrario e creare condizioni di denial of service. La vulnerabilità CVE-2010-0494, invece, consente un attacco di tipo cross-domain mentre quella identificata dal CVE-2010-0488 consente la compromissione della riservatezza dei dati.
Di seguito l’elenco delle vulnerabilità corrette:

1.    Uninitialized Memory Corruption Vulnerability - CVE-2010-0267
2.    Post Encoding Information Disclosure Vulnerability - CVE-2010-0488
3.    Race Condition Memory Corruption Vulnerability - CVE-2010-0489
4.    Uninitialized Memory Corruption Vulnerability - CVE-2010-0490
5.    HTML Object Memory Corruption Vulnerability - CVE-2010-0491
6.    HTML Object Memory Corruption Vulnerability - CVE-2010-0492
7.    HTML Element Cross-Domain Vulnerability - CVE-2010-0494
8.    Memory Corruption Vulnerability - CVE-2010-0805
9.    Uninitialized Memory Corruption Vulnerability - CVE-2010-0806
10.    HTML Rendering Memory Corruption Vulnerability - CVE-2010-0807

Per tutte le vulnerabilità segnalate è necessaria l'interazione dell'utente affinché siano sfruttate con successo da un attaccante. Lo scenario di attacco ipotizzato, pertanto, prevede che l'utente sia indotto a collegarsi ad una pagina web appositamente predisposta dall'attaccante per sfruttare tale vulnerabilità.
Ulteriori dettagli sono disponibili presso la seguenti URL:

• http://www.microsoft.com/technet/security/bulletin/ms10-018.mspx
• http://www.cert-spc.it/index.php/bollettini/notiziari/353-microsoft-vulnerabilita-di-tipo-qzero-dayq-su-internet-explorer