Oggi vengono rilasciati sette aggiornamenti, tre Critici e quattro Importanti, che correggono 26 vulnerabilità che affliggono Microsoft Windows, Internet Explorer, Dynamics AX, Microsoft Lync e Microsoft .NET Framework. Oltre agli aggiornamenti è stato anche rilasciato un sistema per aggiornare automaticamente l'Untrusted Certificate Store in Windows Vista e Windows 7.

Questa nuova feature permette automaticamente di contrassegnare certificati come non validi. Windows, infatti, controllerà giornaliermente la presenza di nuovi certificati da invalidare. Fino ad oggi, l'inserimento di certificati nell'Untrusted Certificate Store richiedeva un aggiornamento manuale. Questo nuovo meccanismo automatico, che si avvale di una lista di certificati non validi denominata Disallowed Certificate Trust List (CTL), è documentato nel Windows PKI Blog. Incoraggiamo gli utenti ad installare questa nuova feature il prima possibile.

In aggiunta, ad Agosto rilasceremo un aggiornamento relativo a come Windows gestisce certificati che hanno chiavi RSA minori di 1024 bit. Quando questo aggiornamento verrà rilasciato, tutti i certificati con questa caratteristica verranno trattati come non validi, anche se non sono scaduti e sono firmati da una Certification Authority riconosciuta. Questo cambiamento viene annunciato oggi per permettere agli utenti di apportare i cambiamenti necessari. Anche in questo caso, maggiori informazioni sono disponibili nel Windows PKI Blog.

Tornando agli aggiornamenti di oggi, i seguenti sono quelli che suggeriamo di prioritizzare, nel caso non fosse possibile installarli tutti:

MS12-037 - Internet Explorer Questo aggiornamento risolve 13 vulnerabilità, che affliggono tutte le versioni supportate di Internet Explorer. Le vulnerabilità più gravi sono Critiche e, se sfruttate, permettono di eseguire codice arbitrario da remoto.

MS12-036 - RDP Questo aggiornamento risolve una vulnerabilità Critica che affligge tutte le versioni supportate di Microsoft Windows, e anch'essa, se sfruttata, permette di eseguire codice da remoto.

La seguente è la tabella completa riguardante la prioritizzazione degli aggiornamenti:

Mentre la seguente è la tabella che rappresenta l'aggregato di rischio ed Exploitability Index:

Maggiori informazioni sui bollettini sono disponibili nella pagina di Riepilogo dei bollettini Microsoft sulla sicurezza di giugno.

In aggiunta ai bollettini, oggi viene anche rilasciato il Security Advisory 2719615. L'advisory documenta una vulnerabilità pubblica in MSXML Core Services, parte di Windows ed altri prodotti, che se sfruttata permette l'esecuzione di codice da remoto. La nostra analisi è ancora in corso, ma abbiamo già sviluppato un workaround che blocca eventuali attacchi che cercano di sfruttare questa vulnerabilità tramite Internet Explorer. L'advisory è infatti accompagnato da un pacchetto Fix It, facile da installare e senza la necessità di un riavvio, per gli utenti che dopo aver letto l'advisory, credono di essere a rischio.

Come di consueto, domani, Mercoledì 13 Giugno 2012, alle 20:00 sarà tenuto un webcast con Jonathan Ness e Dustin Childs, in cui verranno descritti i bollettini e le altre novità di questo mese. Durante il webcast sarà possibile effettuare domande in tempo reale. Il link per registrarsi è il seguente: http://aka.ms/June2012Webcast.

Gerardo Di Giacomo
Security Program Manager - MSRC