Microsoft ha rilasciato la Security Bulletin Advance Notification per il mese di Aprile 2006, annunciando il rilascio di cinque bollettini di sicurezza con relative patches, 4 per Windows e uno per Office.
Gli update rientrano nel programma mensile di aggiornamento di protezione dei suoi prodotti (fissato per il secondo Martedì di ogni mese).
Il bollettino relativo a Microsoft Office è considerato di importanza "moderata" mentre i problemi in Windows hanno un livello di gravità aggregato "critico".
Ricordiamo che, secondo il sistema di rating del colosso del software, un problema di sicurezza è "critico" quando consente la realizzazione di un worm o altro codice nocivo in grado di diffondersi o attaccare senza richiedere intervento dell'utente. I problemi "moderati" invece si riferiscono a vulnerabilità il cui pericolo è attenuato molto da fattori quali una configurazione predefinita, il controllo o la difficoltà di sfruttare il punto debole.
Uno dei bollettini per Windows sarà l'atteso aggiornamento cumulativo per Internet Explorer a correzione della vulnerabilità "CreateTextRange", scoperta due settimane fa. La falla di "esecuzione codice", segnalata originariamente da Secunia Research, è causata da un errore nel processing della chiamata al metodo "createTextRange()" quando applicato ad un controllo "radio button".
Questo bug può essere sfruttato da un sito malintenzionato per corrompere la memoria del browser in modo tale da consentire al flusso del programma di essere dirottato al heap. L'exploit di questa vulnerabilità, se condotto con successo, consente l'esecuzione di codice arbitrario sul sistema.
Durante la scorsa settimana i cyber criminali hanno già tentato di sfruttare la falla prima installando una variante di SDbot, famiglia di virus-backdoor che consente agli attackers di guadagnare il controllo completo del computer infetto da remoto tramite comandi IRC (Inter Relay Chat), poi un keystroke logger tramite il vettore del social-engineering e spam. In assenza di un patch ufficiale di Microsoft, due note aziende di sicurezza, eEye Digital Security e Determina, avevano rilasciato i rispettivi hotfix non ufficiali per offrire protezione temporanea agli utenti di IE. Dal rilascio la patch di eEye ha contato più di 100,000 downloads.
I nuovi aggiornamenti saranno disponibili a partire dal 11 Aprile prossimo sul Download Center e successivamente tramite i vari servizi di aggiornamento online dell'azienda.
Aggiornamenti di sicurezza
• 4 Bollettini per Microsoft Office. Livello critico
• 1 Bollettino per Microsoft Windows. Moderato.
• Aggiornamento per il Malicious Software Removal Tool su Windows Update, Download Center, Microsoft Update, Windows Server Update Services.
Fonte
Gli update rientrano nel programma mensile di aggiornamento di protezione dei suoi prodotti (fissato per il secondo Martedì di ogni mese).
Il bollettino relativo a Microsoft Office è considerato di importanza "moderata" mentre i problemi in Windows hanno un livello di gravità aggregato "critico".
Ricordiamo che, secondo il sistema di rating del colosso del software, un problema di sicurezza è "critico" quando consente la realizzazione di un worm o altro codice nocivo in grado di diffondersi o attaccare senza richiedere intervento dell'utente. I problemi "moderati" invece si riferiscono a vulnerabilità il cui pericolo è attenuato molto da fattori quali una configurazione predefinita, il controllo o la difficoltà di sfruttare il punto debole.
Uno dei bollettini per Windows sarà l'atteso aggiornamento cumulativo per Internet Explorer a correzione della vulnerabilità "CreateTextRange", scoperta due settimane fa. La falla di "esecuzione codice", segnalata originariamente da Secunia Research, è causata da un errore nel processing della chiamata al metodo "createTextRange()" quando applicato ad un controllo "radio button".
Questo bug può essere sfruttato da un sito malintenzionato per corrompere la memoria del browser in modo tale da consentire al flusso del programma di essere dirottato al heap. L'exploit di questa vulnerabilità, se condotto con successo, consente l'esecuzione di codice arbitrario sul sistema.
Durante la scorsa settimana i cyber criminali hanno già tentato di sfruttare la falla prima installando una variante di SDbot, famiglia di virus-backdoor che consente agli attackers di guadagnare il controllo completo del computer infetto da remoto tramite comandi IRC (Inter Relay Chat), poi un keystroke logger tramite il vettore del social-engineering e spam. In assenza di un patch ufficiale di Microsoft, due note aziende di sicurezza, eEye Digital Security e Determina, avevano rilasciato i rispettivi hotfix non ufficiali per offrire protezione temporanea agli utenti di IE. Dal rilascio la patch di eEye ha contato più di 100,000 downloads.
I nuovi aggiornamenti saranno disponibili a partire dal 11 Aprile prossimo sul Download Center e successivamente tramite i vari servizi di aggiornamento online dell'azienda.
Aggiornamenti di sicurezza
• 4 Bollettini per Microsoft Office. Livello critico
• 1 Bollettino per Microsoft Windows. Moderato.
• Aggiornamento per il Malicious Software Removal Tool su Windows Update, Download Center, Microsoft Update, Windows Server Update Services.
Fonte
