 Come annunciato poche ore fa, Microsoft ha reso disponibile un nuovo bollettino di sicurezza "out-of-band" [MS08-067] che fornisce un aggiornamento di protezione per una problematica "critica" isolata nel sistema operativo Windows.
"Questo aggiornamento di protezione risolve un vulnerabilità segnalata privatamente che interessa il servizio Server. La vulnerabilità potrebbe permette l'esecuzione di codice in modalità remota se un sistema affetto ha ricevuto una richiesta RPC modificata ad arte. Sui sistemi Microsoft Windows 2000, Windows XP, e Windows Server 2003, un attacker potrebbe sfruttare questa vulnerabilità senza autenticazione per eseguire codice arbitrario. È possibile che questa vulnerabilità possa essere utilizzare per la creazione di un exploit 'wormable'. Le best practice a livello firewall e la configurazione predefinita del firewall possono aiutare a proteggere le risorse di rete da attacchi che hanno origine al di fuori del perimetro aziendale".
 Microsoft: Patch "Out-of-band"
L'aggiornamento di protezione incluso nel bollettino MS08-067 è classificato come "critico" per tutte le edizioni supportate di Microsoft Windows 2000, Windows XP, Windows Server 2003, e "importante" per tutte le edizioni supportate di Windows Vista e Windows Server 2008. L'Exploitability Index per la vulnerabilità (CVE-2008-4250) è "1", cioè "alta probabilità di sfruttamento della vulnerabilità". A quanto pare la falla in questione sta già venendo sfruttata dai cybercriminali in attacchi limitati.
Curiosità: MS08-067 offre il primo aggiornamento di protezione per Windows 7, sistema operativo che sarà rilasciato presumibilmente fra un anno. Il KB958644 è infatti disponibile anche per la versione Beta Pre-Release di Windows 7, probabilmente quella che sarà distribuita ai partecipanti della prossima conferenza PDC.
C = Critica
I = Importante
M = Moderata | [RCE] = Remote Code Execution
[ID] = Information Disclosure
[EoP] = Elevation of Privilege
| XPSP3[x]/ViSP1[x] = XP SP3 /Vista SP1 (con "x" = importanza relativa)
|
- MS08-067 Vulnerabilità nel Servizio Server [ RCE] ( 958644) C XPSP3[ C] ViSP1[ I]
Una descrizione tecnica dettagliata del nuovo aggiornamento di protezione è stata pubblicata sul blog "Security Vulnerability Research & Defense", con inclusa una tabella dettagliata per l'analisi del rischio su tutte le varie piattaforme interessate. |
|
non ci sono commenti
