Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Aggiornamenti di sicurezza per prodotti Microsoft (ottobre 2018)

Nella giornata del 9 ottobre 2018 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti. Se sfruttate con successo, le più gravi tra queste vulnerabilità possono causare l’esecuzione di codice arbitrario da remoto.

Gli aggiornamenti riguardano i seguenti prodotti:

  • Microsoft Windows 7, RT 8.1, 8.1, 10
  • Microsoft Windows Server 2008, 2008 R2, 2012 R2, 2012, 2016, 2019
  • Microsoft Office 2016 for Mac
  • Microsoft Office 2010, 2013, 2013 RT, 2016, 2019
  • Microsoft Exchange Server 2010, 2013, 2016
  • Microsoft PowerPoint Viewer 2007, 2010
  • Microsoft Excel Viewer 2007
  • Microsoft Office Word Viewer
  • Microsoft Office Compatibility Pack
  • Microsoft Outlook 2010, 2013 RT, 2013, 2016
  • Microsoft Office Web Apps 2010
  • Office 365 ProPlus
  • Internet Explorer 11
  • Microsoft Edge
  • Microsoft SharePoint Server 2010
  • Microsoft SharePoint Enterprise Server 2013, 2016
  • ChakraCore
  • Hub Device Client SDK for Azure IoT
  • SQL Server Management Studio 17.9, 18.0 (Preview 4)
  • 3000 Series Industrial Security Appliance (ISA)

Gli aggiornamenti includono fix per le seguenti vulnerabilità critiche o di gravità elevata:

  • Una vulnerabilità di gravità elevata nel componente Microsoft JET Database Engine di Microsoft Windows che può consentire ad un attaccante di eseguire codice arbitrario da remoto ed assumere il controllo di un sistema affetto (CVE-2018-8423).
  • Una vulnerabilità di gravità elevata nell’implementazione dello stack TCP/IP in Microsoft Windows che può consentire ad un attaccante di ottenere informazioni utili per compromettere ulteriormente il sistema (CVE-2018-8493).
  • Una vulnerabilità di gravità elevata in Microsoft Windows legata ad una gestione impropria degli oggetti in memoria da parte del componente Win32k che può consentire ad un attaccante di eseguire codice arbitrario in modalità kernel (CVE-2018-8453).
  • Una vulnerabilità di gravità elevata in Microsoft Windows e Microsoft Office legata ad una gestione impropria degli oggetti in memoria da parte del componente Microsoft Graphics che può consentire ad un attaccante di eseguire codice arbitrario su un sistema bersaglio (CVE-2018-8432).
  • Vulnerabilità multiple critiche di tipo corruzione della memoria nel Chakra Scripting Engine in Microsoft Edge che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2018-8505, CVE-2018-8510).
  • Vulnerabilità multiple critiche in Microsoft Edge legate ad una gestione impropria degli oggetti in memoria che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2018-8509, CVE-2018-8473).
  • Vulnerabilità multiple critiche in Internet Explorer 11 legate ad una gestione impropria degli oggetti in memoria che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2018-8460, CVE-2018-8491).
  • Una vulnerabilità di gravità elevata in Microsoft SharePoint Server legata ad una gestione impropria di richieste Web appositamente predisposte che può consentire ad un attaccante di effettuare attacchi di tipo cross-site scripting ed eseguire script arbitrari nel contesto dell’utente corrente (CVE-2018-8428).
  • Una vulnerabilità di gravità elevata in Microsoft Exchange legata ad una gestione impropria di messaggi di Email appositamente predisposti che può consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente System (CVE-2018-8302).
  • Una vulnerabilità di gravità elevata in Microsoft Exchange legata ad una gestione impropria di richieste Web da parte di Outlook Web Access (OWA) che può consentire ad un attaccante di effettuare iniezioni di script o altri contenuti e tentare di estorcere informazioni sensibili all’utente (CVE-2018-8448).
  • Vulnerabilità multiple critiche in Windows Hyper-V che possono consentire ad un attaccante di eseguire codice arbitrario sul sistema operativo della macchina host (CVE-2018-8489, CVE-2018-8490).
  • Una vulnerabilità critica nel componente Microsoft XML Core Services di Microsoft Windows che può consentire ad un attaccante di eseguire codice arbitrario da remoto ed assumere il controllo di un sistema affetto (CVE-2018-8494).
  • Vulnerabilità multiple critiche di tipo esecuzione di codice da remoto nel motore di scripting ChakraCore (CVE-2018-8500, CVE-2018-8511, CVE-2018-8513).

Si raccomanda ai gestori e agli utenti di sistemi e prodotti Microsoft di prendere visione dei bollettini di sicurezza Microsoft di ottobre 2018 e di applicare al più presto gli aggiornamenti necessari.

I bollettini di sicurezza Microsoft più recenti sono reperibili sul portale Security Update Guide (per ora disponibile solo in Inglese).

Gli aggiornamenti di sicurezza possono essere scaricati dal sito Microsoft Download Center. Per i sistemi desktop gli aggiornamenti possono essere ottenuti automaticamente mediante Microsoft Update.

Notizie correlate

Vulnerabilità 0-day in Microsoft JET Database Engine

21 settembre 2018

I ricercatori di ZDI hanno divulgato i dettagli di una vulnerabilità zero-day in Microsoft JET Database Engine che può causare l’esecuzione di codice arbitrario.Leggi tutto

Aggiornamenti di sicurezza per prodotti Microsoft (settembre 2018)

12 settembre 2018

Nella giornata dell'11 settembre 2018 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti, tra cui Windows, Internet Explorer, Edge, Office e SharePoint.Leggi tutto

Vulnerabilità 0-day in Windows Task Scheduler

3 settembre 2018

È stata recentemente resa nota l'esistenza di una vulnerabilità zero-day nel componente Task Scheduler di Windows che può consentire ad un utente locale di elevare i propri privilegi.Leggi tutto