Microsoft: due bollettini e otto vulnerabilità per il patch day di marzo

Si annuncia un patch day senza grosse novità quello relativo al mese di marzo che porterà, da martedì prossimo, aggiornamenti per Windows e Office sui computer dei clienti Microsoft. Le patch distribuite saranno solo due e riguarderanno otto vulnerabilità riscontrate, come già accennato prima, sui sistemi operativi Windows XP, Vista e Windows 7, e sulla suite per la produttività Office, per un problema che vede Excel tra i software afflitti da vulnerabilità. Gli aggiornamenti, pur essendo pochi, numericamente parlando, sono comunque di un certo rilievo, tanto che Microsoft li ha classificati come “importanti” a causa del pericolo che essi comportano e che vede a rischio la riservatezza e l’integrità dei dati degli utenti. Le patch saranno disponibili secondo il tradizionale canale di Windows Update nella giornata di martedì 9 marzo, mentre va ricordato che, come peraltro ampiamente previsto, tra le patch in arrivo non c’è la correzione per il problema rilevato su Internet Explorer la scorsa settimana. Un problema relativo agli utenti che usano il browser di Microsoft su Windows XP ma che non ha ancora causato exploit degni di nota, facendo quindi propendere il gruppo americano per la scelta di chiudere con calma la falla in questione, prendendo tutto il tempo necessario a studiare il problema e ad adottare le contromosse necessarie.

Fonte: Oneitsecurity - Autore: Giuseppe Cutrone

Vulnerabilità per Internet Explorer su Windows XP: attenzione a premere F1

Una vulnerabilità che coinvolge tutte le ultime versioni di Internet Explorer è stata scoperta nelle scorse ore. Il bug vede infatti a rischio tutti gli utenti di Windows XP SP3 che utilizzano una versione del browser tra la 6, la 7 e la 8. Nessun rischio, invece, per quanti utilizzano Internet Explorer su Windows Vista e Windows 7. Il bug, confermato anche da Microsoft, porta ad un exploit che si attiva quando l’utente viene indirizzato ad aprire un particolare sito Web dal quale, tramite la comparsa di una finestra pop-up, l’utente viene in seguito invitato a premere il tasto F1 in modo da consentire, involontariamente, l’esecuzione di codice dannoso sul sistema. Secondo quanto si apprende, l’exploit sarebbe noto da alcune settimane, ma non sarebbe stato ancora utilizzato in attacchi specifici, cosa che ha consentito a Microsoft di avere il tempo per poter studiare una patch correttiva. La falla coinvolge l’esecuzione di VBScript e i file Windows Help di Internet Explorer (le finestre che si aprono contenenti istruzioni sulle operazioni comuni relative all’uso del browser), con quest’ultimi che, secondo quanto ammesso da Microsoft stessa, sono tanto utili quanto potenzialmente pericolosi. Il punto essenzialmente è quello che questi file implicazioni automatiche che potrebbero essere sfruttati per eseguire operazioni pericolose da parte dei soliti cybercriminali. Sarà da capire se Microsoft aggiornerà Internet Explorer entro il mese di marzo, possibilmente il 9, giorno in cui cade il patch-day del gruppo di Redmond, o se, invece, vista la non particolare gravità della minaccia, l’aggiornamento slitterà al prossimo aprile.

Fonte: Oneitsecurity - Autore: Giuseppe Cutrone

Microsoft corregge 26 vulnerabilità

Le patch di febbraio risolvono problemi in Windows e Office, di cui cinque considerati critici.

Martedì 9 febbraio Microsoft rilascerà la seconda ondata mensile di patch (per questo 2010) per i propri software e sistemi operativi: 13 aggiornamenti di sicurezza correggeranno 26 diverse vulnerabilità. Dopo un inizio d'anno relativamente tranquillo, Micosoft ha dovuto affrettarsi a correggere una falla scoperta in Internet Explorer diffondendo la patch al di fuori del normale ciclo di rilascio. Proprio quando sembrava che la situazione fosse tornata alla normalità una nuova vulnerabilità, ancora in Internet Explorer, è stata scoperta: la correzione di questa falla, tuttavia, non è parte delle patch che saranno diffuse martedì prossimo.
I 13 bollettini di febbraio riguardano invece sette problemi importanti, cinque critici e uno moderato. Sei di essi (tre critici e tre importanti) si applicano a Windows 7 e due sono invece dedicati a Office; l'anziano Windows 2000 è interessato da nove aggiornamenti (cinque critici, alcuni in comune con Windows 7).

Fonte: Zeusnews

Internet Explorer: nuova falla ma nessuna patch

Una nuova vulnerabilità è stata scoperta in Internet Explorer tale da permettere l'accesso ai file da un utente esterno. La Protected Mode di Windows Vista e Windows 7, però, limita il problema. Per gli utenti Windows XP è disponibile un FixIt automatico.

Con il Security Advisory (980088) Microsoft torna a lanciare un nuovo allarme nei confronti di Internet Explorer. Il browser si appresta pertanto a nuove settimane di difficoltà dopo che l'ultimo mese ha già visto il browser al centro della vicenda cinese e delle accuse di Google relative ad un bug sfruttato dai cracker di regime. Secondo quanto descritto da Microsoft nella propria scheda, un utente esterno è in grado di accedere da remoto ai file depositati sul sistema. Due i requisiti necessari: la conoscenza dell'indirizzo esatto del file e la previa disattivazione della Protected Mode (attiva di default da Windows Vista in poi). Coinvolte dal problema tutte le versioni di Internet Explorer, a partire dalla 5.01 su Windows 2000 fino a Internet Explorer 8 su Windows 7. Il problema è però ovviamente moltiplicato su Windows XP, ove girano nella maggior parte dei casi versioni vetuste di IE e dove la modalità protetta non è un'opzione predefinita del sistema. Entro poche ore Microsoft diramerà i dettagli relativi agli aggiornamenti di sicurezza previsti per il Patch Day del mese di Febbraio (previsto per Martedì 9). Alla luce del bollettino odierno è chiaramente presumibile che il gruppo non rilascerà una patch dedicata direttamente nella tornata tradizionale di update, dunque le possibilità sono due: se il problema continuerà a rimanere circoscritto, senza l'incorrere di veri attacchi che possano estendersi su larga scala, la patch rimarrà senza una soluzione almeno fino al Patch Day di Marzo; se il problema dovesse aggravarsi improvvisamente a causa di un exploit pubblico che trova applicazione, invece, è possibile un aggiornamento out-of-cycle, sulla falsa riga di quanto già sperimentato nel mese di Gennaio per risolvere il più discusso dei bug del browser. In attesa di soluzioni definitive Microsoft ha comunque sviluppato una soluzione che permetterà agli utenti di Windows XP di mettersi al riparo da ogni problema. L'implementazione del Network Protocol Lockdown, infatti, è automatizzata grazie alla funzione "FixIt" che, con un semplice click, mette il sistema nelle condizioni di isolare un eventuale attacco rendendolo sostanzialmente innocuo.

Fonte: Webnews - Autore: Giacomo Dotta

La patch urgente per Internet Explorer è finalmente arrivata

Microsoft ha finalmente rilasciato la correzione al bug che ha permesso l'attacco a Google. La patch corregge in tutto otto buchi.

Quando si tratta di un'emergenza, Microsoft deroga all'abitudine - consolidata fin dal 2003 - di rilasciare le patch per i propri software tutte insieme una volta al mese; stavolta l'emergenza c'è davvero dato che, dopo l'attacco contro Google (e altre 22 aziende americane), l'exploit è divenuto pubblico e la situazione va peggiorando. Internet Explorer (nelle versioni 6, 7 e 8) riceverà dunque un aggiornamento già nella giornata di oggi, 21 gennaio. Microsoft sostiene che l'aggiornamento alla versione più recente del browser è di per sé misura sufficiente a ridurre i rischi di venire colpiti da un attacco grazie alle misure di sicurezza introdotte come la funzionalità Dep (Data Execution Prevention); tuttavia diversi ricercatori hanno fatto notare come gli ultimi attacchi sfruttino delle tecniche efficaci nel superare anche queste protezioni. Nonostante sia oggettivamente più difficile, sui sistemi recenti, sfruttare il bug, solo una patch può risolvere definitivamente il problema: ecco perché Microsoft ha deciso di correre ai ripari annunciando l'intenzione di rilasciare l'aggiornamento per le 10.00 del mattino secondo il fuso orario di Seattle (le 19:00 in Italia). Nel frattempo pare che i browser alternativi a Internet Explorer stiano guadagnando in popolarità, in particolare a seguito delle raccomandazioni diramate dai governi francesi e tedesco: dal 12 al 18 gennaio il numero dei download di Firefox in Germania, da parte degli utenti di IE, è aumentato sensibilmente, con 300.000 scaricamenti in più rispetto a quelli previsti in base all'andamento normale.

Fonte: Zeus News

Microsoft corre ai ripari, in arrivo oggi una patch per Internet Explorer

Dopo le roventi polemiche dei giorni scorsi, Microsoft corre ai ripari e aggiorna Internet Explorer. La patch metterà una pezza, o almeno così dovrebbe essere, alla vulnerabilità che tanto ha fatto parlare in queste ore anche a causa della presa di posizione netta del governo tedesco e di quello francese. Il tutto è cominciato dalla scoperta che l’attacco subito da Google in Cina possa essere stato causato da una falla del browser di Microsoft, una vulnerabilità che avrebbe consentito ai pirati informatici di prendere il controllo dei sistemi degli utenti e rubare informazioni personali. Un pericolo che, per i due governi sopra menzionati, sarebbe stato rilevante, tanto da non aver usato mezze misure nel consigliare agli utenti di usare browser alternativi ad Internet Explorer, ottenendo un certo clamore mediatico che non ha sicuramente fatto piacere a Microsoft, già in difficoltà con il suo browser, che continua a perdere quote sul mercato, e non certo bisognosa di una simile pubblicità. Il colosso del software ha quindi risposto cercando di minimizzare l’allarme e affermando che il problema è evidente per le versioni più vecchie del browser, precisando anche che ad essere colpiti sono state per lo più aziende e in numero molto limitato, aggiungendo che non c’è un serio pericolo per gli utenti privati. Una difesa quasi d’ufficio che però, com’è apparso logico un po’ a tutti, a nulla sarebbe servita se non fosse stata accompagnata da un atto concreto come il rilascio di una patch specifica. Da ieri si sono fatte ricorrenti le voci che davano il gruppo di Redmond intenzionato a rilasciare un aggiornamento al di fuori dei soliti e quasi inflessibili schemi che pianificano il rilascio delle varie patch per i prodotti Microsoft, un’azione tempestiva e necessaria con lo scopo di limitare i danni ed evitare di perdere ulteriore terreno nella “guerra dei browser”. L’aggiornamento per Internet Explorer sarà quindi rilasciato oggi tramite Windows Update e riguarderà le versioni 6, 7 e 8 del browser di Microsoft funzionanti sui sistemi operativi Windows 2000, Windows XP, Windows Vista, Windows 7, Windows Server 2003 e Windows Server 2008.

Fonte: Webnews - Autore: Giuseppe Cutrone

Speciale Microsoft: dopo i recenti attacchi informatici la divisione italiana conferma, ‘Gli utenti delle recenti versioni di IE sono al sicuro’

Per gli esperti contattati dal New York Times, l'attacco a Google e alle società americane in Cina dovuto a un malware mirato, anche con chiavi USB.

In merito alle recenti notizie di attacchi informatici avvenuti ai danni di un limitato numero di società, Feliciano Intini, Chief Security Advisor di Microsoft Italia, ha commentato: “I mirati attacchi dei giorni scorsi hanno coinvolto solo un esiguo numero di società a livello internazionale. Questi attacchi hanno utilizzato un exploit (codice “maligno” che sfrutta una vulnerabilità) che impatta i clienti che utilizzavano Internet Explorer 6. Gli utenti che hanno installato Internet Explorer 8 non sono oggetto di attacchi conosciuti e di exploit grazie alle migliorate protezioni di sicurezza dell’ultima versione del browser. I clienti dovrebbero seguire inoltre i suggerimenti forniti all’interno del Security Advisory 979352”. Intini ha assicurato che la società è impegnata “costantemente a supportare e informare i clienti e effettuerà le azioni appropriate per proteggere gli utenti non appena gli aggiornamenti avranno raggiunto un elevato livello qualitativo per la distribuzione a tutti i clienti. Tra le azioni possibili anche l’emissione di un aggiornamento fuori dall’abituale rilascio che Microsoft distribuisce ogni mese”.
Luca Colombo, Chief Marketing Officer Divisione Consumer & Online di Microsoft Italia, ha dichiarato: “In Italia, sono già oltre 15 milioni i download di Internet Explorer 8, garantendo agli utenti la massima sicurezza di navigazione, grazie alle innovative funzionalità di protezione contenute nell’ultima versione del nostro browser. Consigliamo agli utenti che non hanno ancora effettuato l’aggiornamento a Internet Explorer 8 di scaricare l’ultima versione (download)”.
Un ulteriore chiarimento sul recente Advisory da parte di Feliciano Intini e Luca Colombo di Microsoft Italia (Video)
Secondo recenti studi condotti da Cenzic (Scarica il Report) e da NSS Lab, Internet Explorer 8 è il browser con meno vulnerabilità individuate presente sul mercato, che garantisce agli utenti la massima sicurezza quando acquistano o navigano in rete. Inoltre, grazie al filtro SmartScreen che aiuta l’utente a proteggersi contro l’installazione di malware, phishing e numerosi altri attacchi, sono stati già bloccati 275 milioni di attacchi malware.
L’intervento di Microsoft è stato necessario anche dopo la presa di posizione del governo tedesco che ha consigliato agli internauti di non usare il browser internet Explorer perché “metterebbe a rischio la sicurezza del pc”. L'avvertimento è arrivato dall'Ufficio federale tedesco per la sicurezza informatica dopo che Microsoft ha ammesso che nei recenti attacchi a Google e altre web company americane in Cina è stata sfruttata una falla nel funzionamento del browser, nonostante la società americana avesse garantito che alzando all'opzione massima il livello di sicurezza del browser si può prevenire qualsiasi serio rischio. Secondo Thomas Baumgaertner, portavoce di Microsoft in Germania, gli attacchi informatici a Google e alle altre società “sono stati condotti da persone altamente motivate ed esperte. Non erano quindi attacchi contro gli utenti in generale o contro i consumatori”. Per questo Microsoft è convinta che non ci sia un “pericolo reale per l'utente comune e non condivide l'allarme”. In ogni caso, il portavoce ha assicurato che gli sviluppatori si stanno occupando del problema. Stiamo lavorando ad un aggiornamento software per chiudere la falla - ha detto - ma questo potrebbe comportare il rilascio di un intero ciclo di aggiornamenti di sicurezza”. Un compito che potrebbe essere meno semplice del previsto, dato che secondo gli esperti dei sistemi di sicurezza la falla è presente in tutte e tre le ultime versioni del programma della Microsoft per navigare in internet. Dopo gli attacchi, che hanno violato gli account di posta elettronica Gmail di molti utenti in Cina, in particolare di attivisti di diritti umani, Google ha minacciato di abbandonare completamente il paese asiatico.
Mike Reavey, capo della sicurezza di Microsoft, in un blog dell'azienda ha scritto: “Basandoci sulle nostre indagini, abbiamo determinato che internet Explorer è stato uno dei vettori utilizzati in attacchi mirati e sofisticati contro Google e potenzialmente altri network”.
McAfee, la società che produce il noto software antivirus, ha detto che gli attacchi a Google contengono un livello di sofisticatezza superiore alla norma e non sono tipici di hacker isolati. Il sospetto di Google, e di molti altri esperti, è che dietro l'incidente ci sia la mano di Pechino. Gli attacchi degli ultimi giorni avrebbero colpito almeno 30 società americane, tra cui anche Adobe.
Stamani il New York Times, citando una serie di esperti informatici americani, ipotizza che l'attacco informatico partito dalla Cina è stato probabilmente sferrato sfruttando malware 'selettivo', messo a punto cioè proprio per colpire una società o un gruppo di società particolari.
Secondo gli esperti a cui fa riferimento il quotidiano, i pirati stanno adottando tecniche particolarmente mirate per penetrare nei computer delle grandi società. Una di queste consiste nell'abbandonare nel parcheggio di una azienda alcune piccole chiave usb, con il logo dell'azienda stessa. Fidandosi ciecamente, è successo che gli impiegati le abbiano poi utilizzate, senza sapere che erano state appositamente infettate con un malware.
In altri casi basta una rete Wi-Fi poco protetta o un vecchio browser per navigare sul web, per non parlare dei cellulari palmari, sempre più sofisticati ma non sempre adeguatamente protetti. Il quotidiano ipotizza che l'attacco potrebbe avere sfruttato anche una debolezza di internet Explorer (IE), verosimilmente una vecchia versione. E' quanto ha sottolineato la stessa Microsoft , confermando che l'attacco cinese, che ha peraltro colpito un numero limitato di società, ha utilizzato un 'exploit' o codice maligno che sfruttava una vulnerabilità di IE6. Ciò non sarebbe successo e non potrebbe succedere con l'ultima versione, IE8, considerato uno dei più sicuri dagli analisti indipendenti.

Fonte: Key4biz

Google bucata via Internet Explorer

Microsoft ha fatto sapere che i recenti attacchi di provenienza cinese rivolti contro Google e altre aziende avrebbero sfruttato una falla zero-day di IE. BigM ha anche dichiarato che intende restare sul mercato cinese.

Investigando sui cyberattacchi cinesi denunciati da Google all'inizio della settimana, gli stessi che hanno spinto BigG a minacciare la propria dipartita dalla Cina, Microsoft è arrivata alla conclusione che tra i vettori di attacco c'è anche Internet Explorer.L'annuncio di Microsoft è arrivato a poche ore di distanza da un post del CTO di McAfee, George Kurtz, che per primo collegava IE agli attacchi contro Google e certi account Gmail usati da attivisti per i diritti umani.In questo advisory il gigante di Redmond afferma di aver scoperto una vulnerabilità che affligge tutte le versioni di Internet Explorer a partire dalla 6.0. Questa sarebbe la stessa falla che all'inizio di gennaio i cracker hanno sfruttato per compromettere il network di Google e quello di altre grandi aziende, soprattutto statunitensi. Va notato come Microsoft si astenga dallo specificare la provenienza di tali attacchi, che come noto Google attribuisce alla Cina. La vulnerabilità di IE consiste in una chiamata ad un puntatore non valido che può essere sfruttata per eseguire del codice di shell a distanza. Nel caso di Google, il bug sarebbe stato utilizzato dai cracker per installare un trojan a sua volta capace di scaricare altri malware e aprire una backdoor nel sistema. BigM si è già detta al lavoro su una patch che potrebbe essere distribuita con i bollettini di sicurezza di febbraio. Alla soluzione del problema l'azienda sta cooperando con aziende come Google e Adobe, partner industriali e autorità governative. La mamma di Windows sottolinea che gli attacchi attivi sono al momento circoscritti, e avrebbero esclusivamente come target IE6: "Non abbiamo visto attacchi contro altre versioni vulnerabili di Internet Explorer" si legge nell'advisory. Ciò lo si deve soprattutto ai migliori sistemi di protezione integrati in IE7 e in IE8, che combinati a quelli di Windows Vista e Windows 7 renderebbero assai più difficile lo sfruttamento della vulnerabilità. In particolare, Microsoft suggerisce agli utenti di attivare la funzione Data Execution Prevention (DEP), attivata di default in IE8, e di impostare il livello di sicurezza di IE su "alto" sia per Internet che per Intranet locale (Strumenti > Opzioni Internet > Sicurezza).Ma se, come dice Microsoft, IE6 è la sola versione di questo browser ad essere finita nel mirino dei cracker, è lecito domandarsi chi, all'interno del Googleplex, utilizza ancora questa vecchia e deprecata release di IE per scopi diversi dal testing delle pagine web. Come evidenzia Microsoft, il browser dalla e blu è stato solo uno dei vettori utilizzati dai cracker cinesi: gli altri non si conosco ancora, ma c'è chi afferma potrebbero includere Adobe Reader e Acrobat. Adobe sostiene non ci siano prove che colleghino i recenti attacchi ai suoi software, ma il chief research officer di F-Secure, Mikko Hyppönen, non è dello stesso avviso: "Crediamo che gli attacchi siano stati lanciati attraverso una email che aveva in allegato un file PDF maligno", ha dichiarato in un recente post. Un'ipotesi, quella espressa da Hyppönen, appoggiata anche da McAfee, secondo la quale la maggior parte degli attacchi oggi diretti alle grandi aziende "prende di mira uno o pochi individui": impiegati o dirigenti che generalmente hanno accesso a proprietà intellettuali di valore. A tal proposito, Google afferma gli siano state sottratte certe proprietà intellettuali, probabilmente sotto forma di codice sorgente: a tal riguardo non si hanno però dettagli. McAfee afferma che i recenti cyberattacchi cinesi, che la società ha battezzato operazione Aurora, vanno annoverati tra i più gravi e rilevanti degli ultimi anni. Anche se al momento solo Google e Adobe hanno rivelato di essere tra le vittime, McAfee ritiene che le aggressioni abbiano coinvolto una ventina di aziende. Secondo altri esperti di sicurezza il bilancio sarebbe però ancora più pesante, e pari a 34 aziende: tra queste il Washington Post cita Yahoo!, Symantec, Juniper Networks, Northrop Grumman e Dow Chemical. In quasi tutti i casi gli aggressori sarebbero riusciti a rubare codice sorgente.Microsoft resterà in CinaSe Google dovesse realmente decidere di lasciare la Cina, Microsoft non ne seguirà l'esempio. A dirlo forte e chiaro è stato il CEO del colosso americano, Steve Ballmer, che in una intervista a CNBC ha dichiarato di voler continuare ad operare in Cina e rispettare la legge locale."Non capisco come questo (l'eventuale decisione di Google di abbandonare il mercato cinese, ndr) possa in qualche modo aiutare. Non capisco come questo possa aiutare noi e non capisco come possa aiutare la Cina", ha concluso Ballmer.Abbandonando il paese della Grande Muraglia, Google lascerebbe dunque campo libero non soltanto a Baidu, che oggi domina in modo schiacciante il mercato cinese delle ricerche online, ma anche a Microsoft Bing. Un motivo in più per ben ponderare le prossime decisioni di Redmond.

Fonte: Punto Informatico - Autore: Alessandro Del Rosso

Internet Explorer 9: le novità e la primo demo. Velocità e privacy assicurate.

Microsoft ha reso noti alcuni dettagli di Internet Explorer 9, il browser destinato a succedere all'attuale Internet Explorer 8.

In occasione della Professional Developer Conference di Los Angeles, Microsoft ha reso noti alcuni dettagli di Internet Explorer 9, il browser destinato a succedere all’attuale Internet Explorer 8.
È stato Steven Sinofsky, presidente di Microsoft Windows e della divisione Windows Live, a fare il punto dello stato dell’arte in merito ai lavori intrapresi a Redmond sul nuovo browser. Lo sviluppo di Internet Explorer 9 è iniziato da tre settimane, ha detto Sinosky, e il team di sviluppo si focalizzerà in particolare su tre aree che Microsoft ritiene essenziali per la riuscita del prodotto: supporto per gli standard, performance del browser, migliore utilizzo delle risorse hardware dei client. Un altro aspetto chiave sul quale si lavorerà è la privacy. Per quanto riguarda la prima area, Internet Explorer 9 supporterà il linguaggio di markup per le pagine web HTLM5 e i fogli di stile CSS3. Il browser, inoltre, sfrutterà il motore di rendering D2D nei clienti, ottimizzando, per esempio, la visualizzazione del testo e delle pagine e la fluidità delle animazioni. In merito alle prestazioni, Sinosky ha annunciato lo sviluppo di un rinnovato motore JavaScript, che già mostra risultati più che soddisfacenti. L’obiettivo di Microsoft è di sfornare un browser veloce quanto o addirittura più di Mozilla Firefox e di Google Chrome. A Los Angeles, Microsoft ha mostrato una demo del nuovo Internet Explorer e i risultati dei test Acid3: 32/100 la valutazione ottenuta, destinata ad aumentare mano a mano che i diversi elementi del browser saranno completi e ottimizzati.

Fonte: Webmasterpoint