Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Aggiornamenti di sicurezza per prodotti Microsoft (ottobre 2018)

Nella giornata del 9 ottobre 2018 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti. Se sfruttate con successo, le più gravi tra queste vulnerabilità possono causare l’esecuzione di codice arbitrario da remoto.

Gli aggiornamenti riguardano i seguenti prodotti:

  • Microsoft Windows 7, RT 8.1, 8.1, 10
  • Microsoft Windows Server 2008, 2008 R2, 2012 R2, 2012, 2016, 2019
  • Microsoft Office 2016 for Mac
  • Microsoft Office 2010, 2013, 2013 RT, 2016, 2019
  • Microsoft Exchange Server 2010, 2013, 2016
  • Microsoft PowerPoint Viewer 2007, 2010
  • Microsoft Excel Viewer 2007
  • Microsoft Office Word Viewer
  • Microsoft Office Compatibility Pack
  • Microsoft Outlook 2010, 2013 RT, 2013, 2016
  • Microsoft Office Web Apps 2010
  • Office 365 ProPlus
  • Internet Explorer 11
  • Microsoft Edge
  • Microsoft SharePoint Server 2010
  • Microsoft SharePoint Enterprise Server 2013, 2016
  • ChakraCore
  • Hub Device Client SDK for Azure IoT
  • SQL Server Management Studio 17.9, 18.0 (Preview 4)
  • 3000 Series Industrial Security Appliance (ISA)

Gli aggiornamenti includono fix per le seguenti vulnerabilità critiche o di gravità elevata:

  • Una vulnerabilità di gravità elevata nel componente Microsoft JET Database Engine di Microsoft Windows che può consentire ad un attaccante di eseguire codice arbitrario da remoto ed assumere il controllo di un sistema affetto (CVE-2018-8423).
  • Una vulnerabilità di gravità elevata nell’implementazione dello stack TCP/IP in Microsoft Windows che può consentire ad un attaccante di ottenere informazioni utili per compromettere ulteriormente il sistema (CVE-2018-8493).
  • Una vulnerabilità di gravità elevata in Microsoft Windows legata ad una gestione impropria degli oggetti in memoria da parte del componente Win32k che può consentire ad un attaccante di eseguire codice arbitrario in modalità kernel (CVE-2018-8453).
  • Una vulnerabilità di gravità elevata in Microsoft Windows e Microsoft Office legata ad una gestione impropria degli oggetti in memoria da parte del componente Microsoft Graphics che può consentire ad un attaccante di eseguire codice arbitrario su un sistema bersaglio (CVE-2018-8432).
  • Vulnerabilità multiple critiche di tipo corruzione della memoria nel Chakra Scripting Engine in Microsoft Edge che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2018-8505, CVE-2018-8510).
  • Vulnerabilità multiple critiche in Microsoft Edge legate ad una gestione impropria degli oggetti in memoria che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2018-8509, CVE-2018-8473).
  • Vulnerabilità multiple critiche in Internet Explorer 11 legate ad una gestione impropria degli oggetti in memoria che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2018-8460, CVE-2018-8491).
  • Una vulnerabilità di gravità elevata in Microsoft SharePoint Server legata ad una gestione impropria di richieste Web appositamente predisposte che può consentire ad un attaccante di effettuare attacchi di tipo cross-site scripting ed eseguire script arbitrari nel contesto dell’utente corrente (CVE-2018-8428).
  • Una vulnerabilità di gravità elevata in Microsoft Exchange legata ad una gestione impropria di messaggi di Email appositamente predisposti che può consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente System (CVE-2018-8302).
  • Una vulnerabilità di gravità elevata in Microsoft Exchange legata ad una gestione impropria di richieste Web da parte di Outlook Web Access (OWA) che può consentire ad un attaccante di effettuare iniezioni di script o altri contenuti e tentare di estorcere informazioni sensibili all’utente (CVE-2018-8448).
  • Vulnerabilità multiple critiche in Windows Hyper-V che possono consentire ad un attaccante di eseguire codice arbitrario sul sistema operativo della macchina host (CVE-2018-8489, CVE-2018-8490).
  • Una vulnerabilità critica nel componente Microsoft XML Core Services di Microsoft Windows che può consentire ad un attaccante di eseguire codice arbitrario da remoto ed assumere il controllo di un sistema affetto (CVE-2018-8494).
  • Vulnerabilità multiple critiche di tipo esecuzione di codice da remoto nel motore di scripting ChakraCore (CVE-2018-8500, CVE-2018-8511, CVE-2018-8513).

Si raccomanda ai gestori e agli utenti di sistemi e prodotti Microsoft di prendere visione dei bollettini di sicurezza Microsoft di ottobre 2018 e di applicare al più presto gli aggiornamenti necessari.

I bollettini di sicurezza Microsoft più recenti sono reperibili sul portale Security Update Guide (per ora disponibile solo in Inglese).

Gli aggiornamenti di sicurezza possono essere scaricati dal sito Microsoft Download Center. Per i sistemi desktop gli aggiornamenti possono essere ottenuti automaticamente mediante Microsoft Update.

Notizie correlate

Aggiornamenti di sicurezza per prodotti Microsoft (dicembre 2018)

12 dicembre 2018

Nella giornata dell'11 dicembre 2018 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti tra cui Windows, .NET Framework, Edge e Internet Explorer.Leggi tutto

Avviso di sicurezza di Microsoft per certificati digitali compromessi

28 novembre 2018

Microsoft ha emesso un avviso di sicurezza relativo a due certificati digitali CA root, installati in Windows da applicazioni di terze parti, le cui corrispondenti chiavi private sono state rese per errore pubbliche dagli sviluppatori.Leggi tutto

Aggiornamenti di sicurezza per prodotti Microsoft (novembre 2018)

14 novembre 2018

Nella giornata del 13 novembre 2018 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti, tra cui Windows e Edge.Leggi tutto