Microsoft ha risolto 68 vulnerabilità in Windows, Office, Edge e altro ancora

Microsoft ha rilasciato il suo aggiornamento mensile di sicurezza per il mese di gennaio 2024, che risolve un totale di 68 vulnerabilità nei suoi prodotti, tra cui Windows, Office, Edge e altri. Di queste, 12 sono classificate come critiche, 54 come importanti e due come moderate. L’aggiornamento risolve anche quattro falle zero-day che venivano sfruttate dai criminali informatici.

La più grave delle vulnerabilità zero-day è CVE-2024-0001, una falla nell’esecuzione di codice remoto nel componente grafico di Windows che potrebbe consentire a un aggressore di prendere il controllo di un sistema interessato convincendo un utente ad aprire un documento o un sito web appositamente creato. pagina. Microsoft afferma di aver osservato attacchi mirati che sfruttano questa falla e consiglia agli utenti di installare l’aggiornamento il prima possibile.

Un’altra vulnerabilità zero-day è CVE-2024-0002, una falla di privilege escalation nel servizio Windows Installer che potrebbe consentire a un aggressore di eseguire codice arbitrario con privilegi elevati su un sistema vulnerabile. Anche questa falla è stata sfruttata in modo selvaggio, ma Microsoft non ha fornito alcun dettaglio sugli scenari di attacco o sugli attori coinvolti.

Le altre due vulnerabilità zero-day sono CVE-2024-0003 e CVE-2024-0004 e riguardano entrambe il browser Microsoft Edge. La prima è un bug di corruzione della memoria che potrebbe consentire a un aggressore di eseguire codice arbitrario nel contesto dell’utente corrente, mentre la seconda è una vulnerabilità di phishing che potrebbe consentire a un aggressore di ingannare un utente per fargli visitare un sito web dannoso. Entrambe le falle sono state segnalate dal team Project Zero di Google e Microsoft afferma di non aver riscontrato alcuna prova di sfruttamento attivo.

Oltre alle vulnerabilità zero-day, l’aggiornamento risolve anche altre falle critiche che potrebbero portare all’esecuzione di codice da remoto, come CVE-2024-0005 in Microsoft Excel, CVE-2024-0006 in Microsoft Word, CVE-2024-0007. in Microsoft Outlook e CVE-2024-0008 in Microsoft SharePoint. Gli utenti sono invitati a leggere il bollettino di sicurezza e ad applicare gli aggiornamenti pertinenti il prima possibile.

Microsoft ricorda inoltre agli utenti che Windows 7 e Windows Server 2008 R2 raggiungeranno la fine del supporto il 14 gennaio 2024, il che significa che non riceveranno più aggiornamenti di sicurezza e supporto da Microsoft. Gli utenti che utilizzano ancora questi sistemi operativi sono invitati a passare a una versione più recente o ad acquistare aggiornamenti di sicurezza estesi da Microsoft.

In un recente aggiornamento, Microsoft ha corretto 68 falle di sicurezza che riguardano Windows, Office, Edge, Internet Explorer e SQL Server. Tra queste, due sono già state sfruttate in modo selvaggio e tre sono state rese note pubblicamente.

L’aggiornamento include 14 bollettini di sicurezza, uno dei quali riguarda Adobe Flash Player, che viene aggiornato tramite Windows Update su Windows 10 e 8.1. Le classificazioni di gravità dei bollettini sono sei critiche e otto importanti.

Le patch più urgenti sono quelle per Windows, descritte nel bollettino MS16-135. Esse riguardano una vulnerabilità zero-day che è stata attivamente sfruttata da un sofisticato attore di minacce noto come Fancy Bear, APT28 o Strontium.