E ora di riavviare! Microsoft rilascia il nuovo Patch Tuesday. 132 bug dei quali 9 critici

Redazione RHC : 12 Luglio 2023 11:54

Nel Patch Tuesday di luglio, Microsoft ha rilasciato aggiornamenti per correggere 132 nuove vulnerabilità di sicurezza nei suoi prodotti, incluse sei vulnerabilità zero-day che la società ha dichiarato essere sfruttate attivamente.

Delle 130 vulnerabilità, 9 sono classificate come critiche e 121 come importanti. Gli hacker hanno sfruttato attivamente le seguenti falle:

• CVE-2023-32046 (punteggio CVSS: 7,8) è una vulnerabilità di escalation dei privilegi della piattaforma Windows MSHTML che è stata sfruttata aprendo un file appositamente predisposto tramite e-mail o siti Web dannosi. L’attaccante acquisirà i diritti dell’utente che ha avviato l’applicazione vulnerabile;
• CVE-2023-32049 (punteggio CVSS: 8,8) – La funzionalità di sicurezza di Windows SmartScreen aggira la vulnerabilità. Lo sfruttamento del bug impedisce la visualizzazione del prompt “Apri file – Avviso di sicurezza” durante il download e l’apertura di file da Internet;
• CVE-2023-35311 (punteggio CVSS: 8,8) è una vulnerabilità di bypass di una funzionalità di sicurezza di Microsoft Outlook che ignora gli avvisi di sicurezza e opera nell’area di anteprima. Lo sfruttamento della vulnerabilità potrebbe consentire a un utente malintenzionato di ignorare la notifica di sicurezza di Microsoft Outlook.
• CVE-2023-36874 (punteggio CVSS: 7,8) – Una vulnerabilità di escalation dei privilegi nel servizio di segnalazione degli errori di Windows potrebbe consentire agli aggressori di ottenere privilegi amministrativi su un dispositivo Windows. Il criminale informatico deve avere accesso locale alla macchina di destinazione e l’utente deve essere in grado di creare cartelle sulla macchina con privilegi limitati che gli utenti normali hanno per impostazione predefinita.
• CVE-2023-36884 (punteggio CVSS: 8.3) è una vulnerabilità legata all’esecuzione di codice in modalità remota in Office e Windows HTML. Una vulnerabilità 0day senza patch in Microsoft Office e Windows che consente l’esecuzione di codice in modalità remota (RCE) nel contesto della vittima utilizzando documenti Microsoft Office appositamente predisposti.
• ADV230001 – Guida all’uso dannoso dei driver firmati da Microsoft. Microsoft ha revocato i certificati di firma del codice e gli account degli sviluppatori che sfruttavano una scappatoia nei criteri di Windows per installare driver dannosi in modalità kernel.

Microsoft ha dichiarato di essere a conoscenza di attacchi mirati alle agenzie governative in Europa e Nord America in cui gli aggressori tentano di sfruttare CVE-2023-36884 utilizzando honeypot appositamente predisposte per documenti Microsoft Office associati al Congresso mondiale ucraino.

A causa della mancanza di una correzione del CVE-2023-36884, la società incoraggia gli utenti a impedire a tutte le applicazioni di Office di creare processi figlio (regola “Blocca tutte le applicazioni di Office dalla creazione di processi figli” ) per ridurre la superficie di attacco.

Microsoft ha inoltre revocato i certificati di firma del codice utilizzati per firmare e installare driver dannosi in modalità kernel su sistemi compromessi. Nel corso degli attacchi, i criminali informatici hanno sfruttato una scappatoia della politica di Windows per modificare la data di firma del driver al 29 luglio 2015 utilizzando gli strumenti open source “HookSignTool” e “FuckCertVerifyTimeValidity”.

I risultati suggeriscono che l’uso di driver non autorizzati in modalità kernel sta guadagnando terreno tra gli aggressori poiché vengono eseguiti con il livello di privilegi più elevato su Windows, consentendo la persistenza per lunghi periodi di tempo mentre interferiscono con il software di sicurezza per eludere il rilevamento.

Al momento non è chiaro come vengano sfruttati altri punti deboli e quanto siano diffusi gli attacchi. Tuttavia, alla luce dell’abuso attivo, si consiglia agli utenti di applicare rapidamente gli aggiornamenti per mitigare le potenziali minacce.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli