Microsoft spinge l'emergenza Out of Band IE Zero-day fix a Windows Update

Dieci giorni fa Microsoft ha rilasciato un aggiornamento cumulativo fuori banda per tutte le versioni supportate di Windows 10 che risolve una nuova vulnerabilità di Internet Explorer relativa all'esecuzione di codice in modalità remota.

Allora l'aggiornamento era disponibile solo tramite il catalogo degli aggiornamenti, ma sembra che Microsoft ora abbia abbastanza fiducia nella patch per distribuirla a tutte le versioni di Windows.

Microsoft descrive il bug grave come segue:

Esiste una vulnerabilità legata all'esecuzione di codice in modalità remota nel modo in cui il motore di scripting gestisce gli oggetti in memoria in Internet Explorer. La vulnerabilità potrebbe danneggiare la memoria in modo tale che un utente malintenzionato possa eseguire codice arbitrario nel contesto dell'utente corrente. Un utente malintenzionato che sfrutti con successo la vulnerabilità potrebbe ottenere gli stessi diritti utente dell'utente corrente. Se l'utente corrente ha effettuato l'accesso con diritti utente amministrativi, un utente malintenzionato che ha sfruttato correttamente la vulnerabilità potrebbe assumere il controllo del sistema interessato. Un utente malintenzionato potrebbe quindi installare programmi; visualizzare, modificare o eliminare i dati; o creare nuovi account con diritti utente completi.

In uno scenario di attacco basato sul Web, un utente malintenzionato può ospitare un sito Web appositamente predisposto progettato per sfruttare la vulnerabilità tramite Internet Explorer e quindi convincere un utente a visualizzare il sito Web, ad esempio inviando un'e-mail.

L'aggiornamento per la protezione risolve la vulnerabilità modificando il modo in cui il motore di scripting gestisce gli oggetti in memoria.

Microsoft ha anche sfruttato l'opportunità per pubblicare un'altra correzione di bug, questa volta per risolvere i problemi della stampante causati da una patch precedente per lo stesso difetto di IE.

“Risolve un problema intermittente con il servizio spooler di stampa che potrebbe causare il fallimento dei processi di stampa. Alcune app potrebbero chiudersi o generare errori, come l'errore RPC (Remote Procedure Call)", osserva il registro delle modifiche.

I registro delle modifiche completo per KB4524147 si legge:

Questo aggiornamento della sicurezza include la mitigazione della vulnerabilità della sicurezza del motore di scripting di Internet Explorer (CVE-2019-1367) e corregge un recente problema di stampa riscontrato da alcuni utenti.

Le principali modifiche includono:

• Risolve un problema intermittente con il servizio spooler di stampa che potrebbe causare il fallimento dei processi di stampa. Alcune app potrebbero chiudersi o generare errori, come l'errore RPC (Remote Procedure Call).
• Risolve un problema che potrebbe causare un errore durante l'installazione di Features On Demand (FOD), come .Net 3.5. L'errore è: “Impossibile completare le modifiche. Riavvia il computer e riprova. Codice errore: 0x800f0950."

Gli utenti Windows possono scaricare l'aggiornamento controllando gli aggiornamenti in Impostazioni o attendendo che venga installato automaticamente.

via ZDNet