La situazione si fa calda: da alcuni giorni abbiamo letto di come siano stati diffusi i dettagli della vulnerabilità DNS prima di quanto Dan Kamisky avesse in mente di fare. Dai dettagli della vulnerabilità alla realizzazione di un exploit il passo è stato breve e quindi ora siamo effettivamente a un passo dalla possibilità di osservare degli attacchi. Questo ha spinto Microsoft a rilasciare il "Microsoft Security Advisory (956187) - Increased Threat for DNS Spoofing Vulnerability" il cui intento è semplicemente rinnovare l'urgenza di aggiornare i sistemi Windows con la patch descritta nel bollettino MS08-037 (emessa lo scorso 8 luglio, durante l'emissione mensile dei bollettini di sicurezza) che risolve le vulnerabilità in oggetto e difende da questo tipo di attacchi.
Giusto per essere chiari: i PC Windows dei singoli utenti che utilizzano l'automatismo di Windows Update per aggiornare il proprio sistema dovrebbero essere già a posto (se hanno l'impostazione consigliata che installa automaticamente le patch critiche, o se hanno acconsentito all'installazione della patch negli altri casi). Il problema di non aver ancora provveduto ad installare la patch è probabilmente più a carico delle aziende.
Deve effettivamente far riflettere come le dinamiche e i processi di security patch management aziendali non siano ancora efficienti come dovrebbero: ci sono diversi riscontri che indicano un numero ancora tristemente basso di sistemi aggiornati (sabato scorso Kaminsky segnalava che più del 52% di sistemi era ancora vulnerabile). Un articolo sul The Register segnala nomi di importanti ISP americani ancora indietro...: temo che il periodo a ridosso delle ferie estive qui in Italia non aiuti molto ad affrontare con la dovuta urgenza questo processo di aggiornamento, e che per il nostro paese la situazione non sia migliore (anzi...).
Non mancherò di aggiornarvi in caso di importanti sviluppi.
Altri post/risorse correlate:
PingBack from http://www.grabbernews.com/security-advisory-956187-sulla-vulnerabilita-dns-lexploit-e-pubblico-affrettarsi-allaggiornamento-2611.html
Avrei voluto intitolare questo post con "La rivincita di Windows Update", ricordando il post