E ora di riavviare! Microsoft rilascia il nuovo Patch Tuesday. 132 bug dei quali 9 critici

Nel Patch Tuesday di luglio, Microsoft ha rilasciato aggiornamenti per correggere 132 nuove vulnerabilità di sicurezza nei suoi prodotti, incluse sei vulnerabilità zero-day che la società ha dichiarato essere sfruttate attivamente.

Delle 130 vulnerabilità, 9 sono classificate come critiche e 121 come importanti. Gli hacker hanno sfruttato attivamente le seguenti falle:

• CVE-2023-32046 (punteggio CVSS: 7,8) è una vulnerabilità di escalation dei privilegi della piattaforma Windows MSHTML che è stata sfruttata aprendo un file appositamente predisposto tramite e-mail o siti Web dannosi. L’attaccante acquisirà i diritti dell’utente che ha avviato l’applicazione vulnerabile;
• CVE-2023-32049 (punteggio CVSS: 8,8) – La funzionalità di sicurezza di Windows SmartScreen aggira la vulnerabilità. Lo sfruttamento del bug impedisce la visualizzazione del prompt “Apri file – Avviso di sicurezza” durante il download e l’apertura di file da Internet;
• CVE-2023-35311 (punteggio CVSS: 8,8) è una vulnerabilità di bypass di una funzionalità di sicurezza di Microsoft Outlook che ignora gli avvisi di sicurezza e opera nell’area di anteprima. Lo sfruttamento della vulnerabilità potrebbe consentire a un utente malintenzionato di ignorare la notifica di sicurezza di Microsoft Outlook.
• CVE-2023-36874 (punteggio CVSS: 7,8) – Una vulnerabilità di escalation dei privilegi nel servizio di segnalazione degli errori di Windows potrebbe consentire agli aggressori di ottenere privilegi amministrativi su un dispositivo Windows. Il criminale informatico deve avere accesso locale alla macchina di destinazione e l’utente deve essere in grado di creare cartelle sulla macchina con privilegi limitati che gli utenti normali hanno per impostazione predefinita.
• CVE-2023-36884 (punteggio CVSS: 8.3) è una vulnerabilità legata all’esecuzione di codice in modalità remota in Office e Windows HTML. Una vulnerabilità 0day senza patch in Microsoft Office e Windows che consente l’esecuzione di codice in modalità remota (RCE) nel contesto della vittima utilizzando documenti Microsoft Office appositamente predisposti.
• ADV230001 – Guida all’uso dannoso dei driver firmati da Microsoft. Microsoft ha revocato i certificati di firma del codice e gli account degli sviluppatori che sfruttavano una scappatoia nei criteri di Windows per installare driver dannosi in modalità kernel.

Microsoft ha dichiarato di essere a conoscenza di attacchi mirati alle agenzie governative in Europa e Nord America in cui gli aggressori tentano di sfruttare CVE-2023-36884 utilizzando honeypot appositamente predisposte per documenti Microsoft Office associati al Congresso mondiale ucraino.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

A causa della mancanza di una correzione del CVE-2023-36884, la società incoraggia gli utenti a impedire a tutte le applicazioni di Office di creare processi figlio (regola “Blocca tutte le applicazioni di Office dalla creazione di processi figli” ) per ridurre la superficie di attacco.

Microsoft ha inoltre revocato i certificati di firma del codice utilizzati per firmare e installare driver dannosi in modalità kernel su sistemi compromessi. Nel corso degli attacchi, i criminali informatici hanno sfruttato una scappatoia della politica di Windows per modificare la data di firma del driver al 29 luglio 2015 utilizzando gli strumenti open source “HookSignTool” e “FuckCertVerifyTimeValidity”.

I risultati suggeriscono che l’uso di driver non autorizzati in modalità kernel sta guadagnando terreno tra gli aggressori poiché vengono eseguiti con il livello di privilegi più elevato su Windows, consentendo la persistenza per lunghi periodi di tempo mentre interferiscono con il software di sicurezza per eludere il rilevamento.

Al momento non è chiaro come vengano sfruttati altri punti deboli e quanto siano diffusi gli attacchi. Tuttavia, alla luce dell’abuso attivo, si consiglia agli utenti di applicare rapidamente gli aggiornamenti per mitigare le potenziali minacce.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.