Microsoft rilascia 5 patch, ma non bastano

Cinque patch per risolvere otto falle: il Patch Day di Settembre si racchiude in questi numeri, ma oltre ai problemi risolti ci sono anche da segnalare i problemi che invece rimangono aperti. Due falle, infatti, rimangono pendenti e le prossime settimane si preannunciano pertanto calde per la sicurezza dei sistemi del gruppo.

Come preannunciato, sono cinque gli aggiornamenti rilasciati, tutti di importanza «critica». La MS09-045 concerne un problema nel codice del JScript Scripting Engine in grado di abilitare l’esecuzione di codice da remoto: in questo caso il problema è critico per tutti i sistemi di Redmond, fatta esclusione per Windows 7 che risulta immune (così come in tutte le altre le vulnerabilità risolte in questa tornata di aggiornamenti). La MS09-46 concerne una vulnerabilità scoperta nel DHTML Editing Component ActiveX e coinvolge Windows 2000, Windows XP e Windows Server 2003. La MS09-47 è probabilmente quella più importante poiché relativa al Windows Media Format: un eventuale attacco potrebbe giungere tramite file molto diffusi quali ad esempio ASF ed MP3. La patch MS09-48 va a risolvere tre differenti problemi identificati in Windows TCP/IP con massima pericolosità concentrata su Windows Vista e Windows Server 2008. L’ultima delle patch rilasciate è la MS09-49, risolvente una vulnerabilità emersa nel Wireless LAN AutoConfig Service.

Mentre la falla in IIS rimane aperta e potrebbe subire la pressione di un exploit già verificato in rete, una nuova vulnerabilità “zero day” è emersa in Windows Vista e Windows 7 a poche ore dal rilascio degli aggiornamenti del mese corrente. Trattasi di un bug in grado di portare ad un “blue screen of death” a causa di un bug nel Server Message Block 2.0. Il coinvolgimento di Windows 7 sarebbe dettato dalla comunanza con Vista della componente bacata, ma in realtà l’exploit sembra non funzionare. A distanza di poche ore dall’annuncio, infatti, Microsoft conferma: Windows 7 è immune al problema e non è dunque intaccato in alcun modo da alcuna delle vulnerabilità emerse nelle ultime settimane.

Gli aggiornamenti di Settembre sono disponibili tramite Microsoft Update. Le due vulnerabilità ulteriori saranno invece monitorate nei giorni a venire e Microsoft interverrà con una patch straordinaria soltanto nel caso in cui gli exploit pubblici sprigionassero attacchi realmente virali.