Ministero dello Sviluppo Economico

CERT Nazionale Italia - Computer Emergency Response Team

Vulnerabilità

Aggiornamenti di sicurezza per prodotti Microsoft (febbraio 2020)

edge  excel  exchange  Internet Explorer  microsoft  RDP   mercoledì, 12 febbraio 2020

Nella giornata dell’11 febbraio 2020 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti. Se sfruttate con successo, le più gravi tra queste vulnerabilità possono causare l’esecuzione di codice arbitrario da remoto.

Gli aggiornamenti riguardano i seguenti prodotti:

  • Microsoft Windows
  • Microsoft Edge (EdgeHTML-based)
  • Microsoft Edge (Chromium-based)
  • ChakraCore
  • Internet Explorer
  • Microsoft Exchange Server
  • Microsoft SQL Server
  • Microsoft Office e Microsoft Office Services and Web Apps
  • Windows Malicious Software Removal Tool
  • Windows Surface Hub

Gli aggiornamenti includono fix per le seguenti vulnerabilità critiche o di gravità elevata:

  • Vulnerabilità multiple critiche in Microsoft Edge (EdgeHTML-based) legate ad una gestione impropria degli oggetti in memoria da parte del motore di scripting Chakra che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2020-0767, CVE-2020-0712, CVE-2020-0710, CVE-2020-0713, CVE-2020-0711).
  • Due vulnerabilità critiche in Internet Explorer legate ad una gestione impropria degli oggetti in memoria da parte del motore di scripting Chakra che possono consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2020-0673, CVE-2020-0674, vulnerabilità zero-day già segnalata dal CERT Nazionale).
  • Una vulnerabilità critica in Microsoft Windows legata ad una gestione impropria degli oggetti in memoria che può consentire ad un attaccante di eseguire codice arbitrario con privilegi elevati sul sistema bersaglio (CVE-2020-0662).
  • Vulnerabilità multiple critiche nel client Remote Desktop Services (RDP) di Microsoft Windows che possono consentire ad un attaccante di eseguire codice arbitrario sul sistema sottostante quando l’utente si connette ad un server malevolo (CVE-2020-0681, CVE-2020-0817, CVE-2020-0734).
  • Una vulnerabilità critica di tipo esecuzione di codice da remoto in Microsoft Windows legata all’elaborazione di file .LNK (CVE-2020-0729).
  • Una vulnerabilità critica nel componente Media Foundation di Microsoft Windows legata ad una gestione impropria degli oggetti in memoria che può consentire ad un attaccante di ottenere il controllo completo del sistema bersaglio (CVE-2020-0738).
  • Due vulnerabilità di gravità elevata di tipo elevazione dei privilegi in Windows Installer, legate alla gestione dei link simbolici da parte dei pacchetti MSI, che possono consentire ad un attaccante di aggirare le restrizioni di accesso e aggiungere o rimuovere file arbitrari (CVE-2020-0683, CVE-2020-0686).
  • Una vulnerabilità di gravità elevata in Microsoft Exchange Server che può consentire ad un attaccante di eseguire codice da remoto mediante messaggi di Email appositamente predisposti (CVE-2020-0688).
  • Una vulnerabilità di gravità elevata in Microsoft Exchange Server che può consentire ad un attaccante di ottenere i privilegi di qualsiasi altro utente sul server Exchange (CVE-2020-0692).
  • Una vulnerabilità di gravità elevata in Microsoft SQL Server Reporting Services che può consentire ad un attaccante di eseguire codice arbitrario (CVE-2020-0618).
  • Una vulnerabilità di gravità elevata in Microsoft Excel legata ad una gestione impropria degli oggetti in memoria che può consentire ad un attaccante di eseguire codice da remoto nel contesto dell’utente corrente (CVE-2020-0759).

Si raccomanda ai gestori e agli utenti di sistemi e prodotti Microsoft di prendere visione dei bollettini di sicurezza Microsoft di febbraio 2020 e di applicare al più presto gli aggiornamenti necessari.

I bollettini di sicurezza Microsoft più recenti sono reperibili sul portale Security Update Guide (per ora disponibile solo in Inglese).

Gli aggiornamenti di sicurezza possono essere scaricati dal sito Microsoft Download Center. Per i sistemi desktop gli aggiornamenti possono essere ottenuti automaticamente mediante Microsoft Update.

Notizie correlate

Vulnerabilità critiche 0-day in libreria Adobe Type Manager su Windows

24 marzo 2020

Sono state scoperte due vulnerabilità critiche zero-day nella gestione dei caratteri Adobe Type 1 in Windows che possono causare l'esecuzione di codice arbitrario da remoto.Leggi tutto

Aggiornamenti di sicurezza per prodotti Microsoft (marzo 2020)

13 marzo 2020

Nella giornata del 10 marzo 2020 Microsoft ha emesso diversi aggiornamenti di sicurezza che risolvono vulnerabilità multiple in svariati prodotti.Leggi tutto

Avviso di sicurezza di Microsoft per falla critica 0-day in Internet Explorer

20 gennaio 2020

Microsoft ha rilasciato un avviso di sicurezza relativo ad una vulnerabilità critica zero-day in Internet Explorer che può causare l’esecuzione di codice arbitrario da remoto.Leggi tutto