Ott 12, 2023 Marina Londei News, RSS, Vulnerabilità 0

Un ottobre ricco di vulnerabilità per Microsoft: con l’ultimo bollettino di sicurezza, la compagnia ha annunciato patch per ben 103 vulnerabilità, due delle quali sono sfruttate attivamente dagli attaccanti. I due bug in questione colpiscono Skype For Business (CVE-2023-41763) e WordPad (CVE-2023-36563).

La prima è una vulnerabilità classificata da Microsoft come escalation dei privilegi, ma più simile in realtà a una information disclosure, che colpisce le versioni di Skype For Business Sever 2015 CU13 e Server 2019 CU7, rispettivamente nelle versioni dalla 9319.0 alla 6.0.9319.869 e dalla 2046.0 alla 7.0.246.530. Un attaccante può sfruttare il bug eseguendo una chiamata configurata ad hoc nei confronti della vittima per provocare il parsing di una richiesta HTTP fatta a un indirizzo arbitrario e ottenere l’indirizzo IP della vittima e informazioni sulle porte in uso.

La vulnerabilità è considerata di gravità media in quanto impatta solo la confidenzialità delle informazioni, non l’integrità o la disponibilità del servizio: l’attaccante può accedere ai dati, ma non può modificarli o limitare l’accesso degli utenti a Skype. Ciò non toglie che le informazioni sottratte possono consentire l’accesso alle reti aziendali, quindi è indispensabile aggiornare le versioni vulnerabili il prima possibile.

Pixabay

Il secondo bug colpisce WordPad ed è una information disclosure. Considerata di impatto medio, la vulnerabilità richiede l’interazione dell’utente per scaricare un file malevolo e aprirlo. In caso di successo, un attaccante è in grado di accedere agli hash NTLM usati per l’autenticazione degli utenti.

Gli altri aggiornamenti di Microsoft

Delle 103 vulnerabilità risolte nel Patch Tuesday di ottobre, 20 colpiscono il protocollo MSMQ per la gestione della coda dei messaggi scambiati tra le applicazioni. Una di queste, la CVE-2023-29348, ha un punteggio di criticità di 9.8 su 10 e consente l’esecuzione di codice remoto senza l’interazione utente.

Presente anche un’altra vulnerabilità critica, la CVE-2023-36434, che colpisce Windows IIS (Internet Information Services) e permette a un attaccante di autenticarsi coi privilegi di un altro utente, compreso l’amministratore.

Il bollettino di ottobre comprende inoltre le patch per la vulnerabilità CVE-2023-5346 di Chromium e la CVE-2023-44487 del protocollo HTTP/2. Pur non colpendo direttamente i prodotti Microsoft, i due bug espongono gli utenti Windows a nuove minacce.