Phenquestions
Microsoft ha pubblicato oggi un nuovo bollettino di sicurezza fuori banda che informa su una vulnerabilità di sicurezza critica appena rilevata nel browser Web Internet Explorer dell'azienda.
La vulnerabilità, già sfruttata in natura secondo l'azienda, colpisce Internet Explorer da 7 a 11 su sistemi operativi client e server. Microsoft Edge, il browser Web predefinito di Windows 10, non è elencato nella pagina e quindi non è interessato dalla vulnerabilità.
La vulnerabilità è considerata critica per tutti i sistemi operativi client e moderata per tutti i sistemi operativi server dell'azienda.
Microsoft ha rilasciato patch per tutte le versioni interessate (e supportate) di Windows. Queste patch sono già disponibili tramite Windows Update e tramite il Download Center di Microsoft.
L'aggiornamento è elencato come "aggiornamento cumulativo per Windows 10 (KB3081444)" per i sistemi Windows 10 ed è elencato con il codice KB3087985 nelle versioni precedenti di Windows. L'aggiornamento KB3078071 è un prerequisito per tale aggiornamento su Windows 8.1 e 7 e Windows Server 2008 R2 e 2012 R2.
Gli aggressori possono sfruttare la vulnerabilità in vari modi, ad esempio creando pagine Web che sfruttano la vulnerabilità, e-mail HTML o pubblicità Web. Tutto ciò che serve per attivare la vulnerabilità è che questi contenuti vengano caricati in una versione interessata di Internet Explorer, non è necessaria un'interazione con il sito a parte questo.
Gli aggressori ottengono gli stessi diritti dell'utente corrente sul sistema. Se l'utente che ha effettuato l'accesso dispone di diritti amministrativi, è possibile un controllo completo del sistema in quanto consentirebbe all'autore dell'attacco di modificare le impostazioni di sistema, creare o modificare account utente, installare o rimuovere software e altro.
Microsoft menziona due fattori attenuanti nell'avviso di sicurezza. Un livello utente non amministrativo dell'utente connesso può influire sull'effetto sul sistema. Inoltre, Microsoft EMET, l'Enhanced Mitigation Experience Toolkit dell'azienda, aiuta a mitigare l'attacco secondo Microsoft, a condizione che sia configurato correttamente per funzionare con il browser Web Internet Explorer.
I collegamenti per il download per tutti i sistemi operativi supportati sono elencati nella pagina dei bollettini sulla sicurezza sul sito Web di Microsoft. Per scaricare l'aggiornamento manualmente, individuare la versione installata di Internet Explorer sotto il software interessato e fare clic sul collegamento accanto al sistema operativo su cui è in esecuzione il computer.
Questa è la seconda patch di emergenza rilasciata nelle ultime due settimane. Microsoft ha rilasciato il bollettino MS15-078 alla fine di luglio per tutti i sistemi operativi supportati che risolve una vulnerabilità critica in Microsoft Font Driver.
