E’ stato emesso il “Microsoft Security Advisory (972890) - Vulnerability in Microsoft Video ActiveX Control Could Allow Remote Code Execution” per segnalare una vulnerabilità nel Microsoft Video ActiveX Control (sono interessate le versioni Windows XP e Windows Server 2003) che permetterebbe di poter eseguire del codice non autorizzato da remoto, nel contesto di sicurezza dell’utente in uso, per mezzo della semplice navigazione su un sito predisposto ad hoc per tale attacco, o comunque per mezzo della visualizzazione di un contenuto HTML (quale, ad esempio, una email in tale formato) che sia in grado di invocare l’uso di questo ActiveX vulnerabile, senza richiedere alcuna interazione all’utente stesso. Si è purtroppo a conoscenza di attacchi che utilizzano questa vulnerabilità. Vi consiglio di consultare l’advisory per approfondire sia i fattori che mitigano il rischio, sia le contromisure di protezione che si possono mettere in atto in attesa del rilascio del relativo aggiornamento correttivo. Riguardo a queste ultime, ribadisco l’importante novità chiamata Fix It, che vi permette di automatizzare la modifica delle chiavi di Registry per implementare le contromisure segnalate. Windows Vista e Windows Server 2008 non sono vulnerabili grazie al fatto di aver impedito il passaggio dei dati a questo controllo tramite Internet Explorer, ma visto che il controllo in oggetto sarebbe comunque vulnerabile anche su queste piattaforme, si consiglia di implementare il workaround di disabilitazione anche su queste versioni di Windows, come misura di defense in depth.

Altri post/risorse correlate: