AGGIORNAMENTO MENSILE DI SICUREZZA MICROSOFT

AGGIORNAMENTO MENSILE DI SICUREZZA MICROSOFT
SEGNALAZIONE DEL 12/02/2008
NR.: 04-2008
(LIVELLO DI RISCHIO: 3 SU 5)
INTRODUZIONE
Si segnala che la Microsoft ha rilasciato il consueto aggiornamento di sicurezza di
febbraio che corregge varie vulnerabilità dei propri prodotti software.
L’aggiornamento comprende 11 bollettini di sicurezza di cui 6 classificati “critici” e
5 “importanti” e interessano Office, Internet Explorer e Windows.
DESCRIZIONE ED IMPATTO
Con questi aggiornamenti Microsoft risolve diverse vulnerabilità critiche. In particolare sono stati
risolti tutti i problemi che coinvolgevano la famiglia Office, compresa quella di Microsoft Office
2004 per Mac, nonché tutte le versioni di Microsoft Windows dalla versione Windows 2000 a
VISTA.
•
Il primo bollettino (MS08-007) risolve una debolezza nel componente Web Distributed
Authoring and Versioning (WebDav), presente in tutte le versioni di Windows;
•
Il secondo bollettino (MS08-008) risolve un problema nella funzionalità OLE (Object
Linking and Embedding) di Windows;
•
Il terzo bollettino (MS-08-009) risolve un problema di Microsoft Word;
•
Il quarto bollettino (MS08-010), da considerarsi prioritario per coloro che navigano sul Web
risolve 4 gravi problemi di sicurezza in Internet Explorer;
•
Il quinto bollettino (MS08-012), che interessa Microsoft Publisher, corregge due bugs, per
le versioni incluse nel pacchetto Office 2000, Xp, 2003 (senza Service Pack);
•
Il sesto bollettino (MS08-013) risolve problemi di sicurezza legati alla gestione di
documenti della suite Microsoft Office.
Oltre ai sei aggiornamenti critici appena elencati, Microsoft ha proposto altri cinque aggiornamenti
importanti:
•
Il primo bollettino (MS08-003) propone un hotfix per un problema in Active Directory, che
interessa principalmente le edizioni server di Windows;
•
Il secondo bollettino (MS08-004), relativo al solo Windows VISTA, propone invece un
rimedio, ad un bug che potrebbe determinare il blocco del sistema operativo inviando una
risposta DHCP malformata. Per le caratteristiche intrinseche del protocollo DHCP,
comunque, il bug può essere sfruttato solamente in rete locale e non attraverso Internet;
•
Il terzo bollettino (MS08-005) propone un aggiornamento per il webserver IIS che, in
specifiche circostanze, potrebbe consentire ad un attaccante di prendere il controllo del
sistema;
•
Il quarto bollettino (MS08-006) presenta un problema relativo a Internet Information
Services impiegato come application server con ASP "classico" (ASP.NET è esente dal
problema);
•
Il quinto bollettino (MS08-011) presenta infine un aggiornamento per Microsoft Works File
Converter, componente aggiuntivo di Microsoft Office, che consente di aprire documenti
realizzati con la suite Works.
Microsoft ha rilasciato inoltre altri aggiornamenti non di sicurezza che migliorano le prestazioni e
la flessibilità del sistema operativo.
Si raccomanda, come al solito, di applicare quanto prima le patch correttive, considerato che la
maggior parte delle vulnerabilità vengono sfruttate non appena noto che un prodotto è affetto da
un Bug.
Si ricorda, inoltre, che l’impatto è minore su sistemi in cui l’utente sia configurato con un profilo
limitato, che non consenta cioè di effettuare modifiche al sistema che richiedano i privilegi di
amministratore.
Per coloro che non hanno attivato, o non riescono ad effettuare, l’aggiornamento automatico, si
raccomanda di scaricare ed installare le patch correttive dal sito MICROSOFT UPDATE al
seguente indirizzo:
http://www.update.microsoft.com/.
Si rammenta, infine, che per poter applicare le patch correttive sono richiesti privilegi di
amministrazione del sistema e l’utilizzo del browser Internet Explorer.
APPROFONDIMENTI
Per ulteriori informazioni sulle procedure indicate da Microsoft per l'applicazione degli
aggiornamenti per la protezione, si consiglia di consultare le Informazioni sulla protezione per la
gestione delle patch al seguente indirizzo:
http://www.microsoft.com/technet/security/Bulletin/ms08-feb.mspx
DISCLAIMER
Nell’ambito della fornitura del presente servizio, il CERT Difesa si avvale di propri fornitori e di selezionate
fonti Open Source, allo scopo di garantire la massima tempestività e accuratezza delle informazioni con
l’obiettivo di prevenire incidenti di sicurezza informatica. Non è consentito far uso di queste informazioni
per finalità differenti. La presenza di link all’interno del testo costituisce una facilitazione nel reperimento
delle informazioni e non una raccomandazione del CERT Difesa verso il soggetto richiamato.