Patch novembrine per Office e Windows

Redmond (USA) – Seguendo il nuovo ciclo mensile degli aggiornamenti di sicurezza annunciato lo scorso mese, Microsoft ha pubblicato contemporaneamente quattro bollettini relativi ad alcune vulnerabilità scoperte in Windows, Office, Internet Explorer e nelle Frontpage Server Extensions.

La vulnerabilità più grave, a cui ha dedicato un advisory di sicurezza anche il CERT, è quella descritta nel bollettino MS03-049 . Si tratta di un buffer overflow contenuto all’interno del servizio Workstation presente e attivo di default in tutte le versioni di Windows 2000 e di Windows XP. Microsoft ha spiegato che la falla può consentire ad un aggressore di guadagnare i massimi privilegi di sistema o di causare il blocco del servizio.

Il CERT afferma che questa vulnerabilità è particolarmente pericolosa perché può essere sfruttata per “attacchi automatizzati” su larga scala, come i worm.

Il secondo bollettino in ordine di importanza è l’ MS03-051 , dove vengono riportate due nuove falle che interessano le versioni 2000 e 2002 delle FrontPage Server Extensions in congiunzione con Windows 2000, XP od Office XP. La più pericolosa delle due può consentire ad un cracker di eseguire del codice da remoto e prendere il completo controllo del sistema, mentre l’altra può essere utilizzata per bloccare il server e lanciare attacchi di tipo denial of service (DoS).

Il terzo bollettino classificato da Microsoft con il massimo grado d’importanza è l’ MS03-048 e descrive cinque nuove vulnerabilità che si celano all’interno delle versioni 5.x e 6 di Internet Explorer. Tre falle riguardano il modello di sicurezza cross domain del browser e possono consentire ad un aggressore, per mezzo di pagine Web o e-mail HTML appositamente create, di far girare sul sistema remoto script con gli stessi privilegi dell’utente: questo potrebbe permettere al malintenzionato di accedere alle informazioni e ai file archiviati sul PC vittima.

Gli altri due problemi di sicurezza sono stati giudicati da Microsoft meno gravi del precedente: uno può essere utilizzato da un aggressore per leggere il contenuto di un file che si trova in una locazione conosciuta del disco, mentre l’altro può permettere ad un sito Web di salvare un file sul computer dell’utente senza che questo se ne accorga.

In questo advisory Microsoft ha fornito il link ad una patch cumulativa per IE che contiene, oltre ai nuovi, anche tutti i vecchi hot fix.

L’ultimo bollettino, l’ MS03-050 interessa tutte le versioni di Office, tranne la giovanissima edizione 2003, e in particolare Word ed Excel. Microsoft ha spiegato che i due celebri applicativi soffrono di un problema di sicurezza che un malintenzionato potrebbe sfruttare attraverso la creazione di una macro malevola capace di modificare o cancellare file o persino formattare l’hard disk dell’utente. Il big di Redmond ha classificato questa vulnerabilità come “important”, sottolineando il fatto che, per utilizzarla con successo, l’aggressore deve prima convincere un utente ad aprire un certo documento.