Eccovi le considerazioni rilevanti per i bollettini di luglio, con il solito riferimento al mio post N°10 per un background sull'approccio all'analisi di rischio e alla tabella seguente che sintetizza le 11 vulnerabilità corrette dai 6 bollettini:

• MS07-036 su Excel: 3 vulnerabilità di Office, con rating Critical, dalle caratteristiche tipiche, che vedono la possibilità di sfruttare solo i privilegi dell'utente loggato, l'uso di un file Excel malformato come vettore di attacco da veicolare come allegato di e-mail (da aprire esplicitamente per essere attaccati) o posto su un sito web (dove analogamente viene richiesta conferma esplicita all'utente). Delle 3 vulnerabilità corrette, solo una era già pubblica prima di oggi ma senza Proof of Concept (PoC). I recenti tool MOICE e File Block di cui detto in questo post possono aiutare come workaround di difesa.
• MS07-037 su Publisher: una sola vulnerabilità, già nota pubblicamente (senza PoC), dalle caratteristiche analoghe a quelle del bollettino precedente, con file di Publisher come vettori di attacco. Rating Important per l'utilizzo più limitato di Publisher come prodotto Office.
• MS07-038 su Windows Vista: una sola vulnerabilità di tipo Information Disclosure; il rating Moderate è giustificato dal fatto che le informazioni che si possono carpire sono solo l'indirzzo di rete Teredo e quanto si possa ottenere in modo anonimo, visto che l'attacco permetterebbe di bypassare le regole del firewall in presenza di interfaccia Teredo attiva. L'attacco viene portato tramite un URL malformato che attiva l'interfaccia Teredo e ne acquisisce l'indirizzo, per poi stabilire una connessione. Teredo è una tecnologia di tunneling di traffico IPv6 in grado di attraversare i NAT.
• MS07-039 su Active Directory: 2 vulnerabilità nella gestione delle query LDAP, di fatto entrambe di tipo DoS negli effetti, anche se la prima delle due, che caratterizza il rating Critical,  tecnicamente potrebbe permettere l'esecuzione di codice non autorizzato da remoto nel contesto di sicurezza di LocalSystem (e per questa vulnerabilità, su Windows Server 2003, l'attacco richiede di essere autenticato). I vettori di attacco sono costituiti da pacchetti di rete LDAP, che dovrebbero essere comunque bloccati a livello perimetrale come da best practice.
• MS07-040 su .NET Framework: delle 3 vulnerabilità corrette, due permetterebbero l'esecuzione di codice non autorizzato nel contesto di sicurezza dell'utente loggato e la terza di accedere a contenuto web in modo non autorizzato. Il vettore di attacco è rappresentato da una pagina web malformata, verso cui indurre l'utente o da veicolare tramite HTML e-mail. Da notare la presenza di problematiche, documentate nell'articolo 931212, correlate all'installazione di questa patch.
• MS07-041 su IIS 5.1: singola vulnerabilità, solo relativa alla versione di IIS 5.1 presente su Windows XP SP2 e non installata per impostazione predefinita, che permetterebbe di eseguire codice non autorizzato nel contesto LocalSystem, tramite l'invio di pacchetti HTTP malformati. Da notare la presenza di problematiche, documentate nell'articolo 939373, correlate all'installazione di questa patch.

Ricordo che l'emissione dei bollettini è anche occasione per il termine del supporto per i prodotti in scadenza e questo mese tocca ai seguenti:

• Software Update Services 1.0
• SQL Server 2000 Service Pack 3a
• SQL Server 2005 RTM (SP0)

Sul tema bollettini ci risentiamo il prossimo 14 agosto (non commento su quando cade l'emissione dei bollettini nel prossimo mese ...), con il solito augurio di non averne da commentare ... visto che lo farò dal mare!