13/11/2019 di Redazione

Attacchi tramite Internet Explorer e Office: serve la patch

Con il Patch Tuesday di novembre Microsoft corregge 13 vulnerabilità critiche di Windows. Una zero-day permette di lanciare attacchi di remote code execution tramite il browser o documenti di Office.

immagine.jpg

Internet Explorer potrebbe darvi dei problemi, a meno di non installare una patch. C’è una cascata di correttivi, una settantina abbondante, nel Patch Tuesday di Microsoft di novembre: difetti di secondaria importanza, ma anche altri valutati come “importanti” e 13 vulnerabilità “critiche” riguardanti Exchange Server, Graphics Component, Hyper-V, Media Player, i più recenti Servicing Stack Updates, il kernel di Windows e il motore di scripting (Scripting Engine). Ed è proprio quest’ultimo la principale fonte di rischio.

 

La vulnerabilità zero-day identificata dalla sigla CVE-2019-1429 causa un malfunzionamento nel modo in cui il motore di scripting gestisce la memoria all’interno di Internet Explorer. Grazie a questo bug un eventuale malintenzionato potrebbe realizzare un attacco attaverso il browser di Windows (quello alternativo a Edge), confezionando pagine Web che sfruttano la vulnerabilità. 

 

L’attacco in questione permette l’esecuzione di codice arbitrario da remoto a partire, appunto, da pagine Web malevole o anche da documenti di Office che includono il motore di scripting di Internet Explorer (cosa che accade quando si inseriscono contenuti Web in un frame all’interno dei documenti stessi).

 

“La vulnerabilità”, ha spiegato Microsoft, “potrebbe corrompere la memoria in modo tale che un attaccante possa eseguire codice arbitrario nel contesto dell’utente corrente. Un attaccante che abbia sfruttato con successo la vulnerabilità potrebbe ottenere gli stessi privilegi dell’utente corrente”. Dunque, se quest’ultimo ha fatto login come amministratore, l’autore dell’attacco potrebbe installare programmi, modificare o cancellare dati, o ancora creare nuovi utenti.

 

ARTICOLI CORRELATI