Aggiornamenti per prodotti Microsoft, Adobe Flash Player e Acrobat Reader

Nella giornata di ieri, 11 ottobre 2016, Microsoft ha emesso alcuni bollettini di sicurezza per alcuni suoi prodotti, e Adobe ha rilasciato aggiornamenti per Flash Player e Acrobat Reader.

1. Prodotti Windows

Dettagli degli aggiornamenti:

[Critico] Cumulative Security Update per Internet Explorer (MS16-118): risolve vulnerabilità in Internet Explorer. 

[Critico] Cumulative Security Update for Microsoft Edge (MS16-119): il seguente aggiornamento è in grado di risolvere diverse vulnerabilità in Microsoft Edge. 

In entrambi i casi suddetti vi sono vulnerabilità delle quali, le più gravi possono consentire l’esecuzione di codice in modalità remota se un utente visita una pagina Web appositamente predisposta. Queste vulnerabilità, se sfruttate con successo, possono consentire ad un attaccante di ottenere gli stessi privilegi dell’utente corrente; inoltre, rispetto agli utenti con privilegi di amministratore, ha un impatto minore sugli utenti con account configurati in modo da disporre solo di diritti limitati sul sistema.

[Critico] Security Update for Microsoft Video Control (MS16-122):l’aggiornamento di sicurezza risolve una vulnerabilità in Microsoft Windows. La seguente vulnerabilità è causata da una gestione impropria degli oggetti in memoria da parte di Microsoft Video Control, e può consentire l’esecuzione di codice in modalità remota qualora un utente aprisse un file o un programma appositamente predisposti contenuti in pagina Web o in una email. Questa vulnerabilità,  se sfruttata con successo, può consentire ad un attaccante di eseguire codice arbitrario nel contesto dell’utente corrente.

[Critico] Security Update for Microsoft Graphics Component (MS16-120): l’aggiornamento risolve diverse vulnerabilità in Microsoft Windows, Microsoft Office, Skype for Business, Silverlight e Microsoft Lync. Lo sfruttamento di queste vulnerabilità può consentire l’esecuzione di codice in modalità remota se un utente visualizza una pagina Web o apre un documento appositamente predisposti. 

[Importante] Security Update for Microsoft Office (MS16-121): l’aggiornamento di sicurezza risolve una vulnerabilità in Microsoft Office, che può consentire l’esecuzione di codice in modalità remota qualora un utente aprisse un documento RTF appositamente predisposto. La seguente vulnerabilità, se sfruttata con successo, può consentire ad un attaccante di eseguire codice arbitrario nel contesto dell’utente corrente. 

Queste vulnerabilità hanno un impatto minore sugli utenti con account configurati in modo da disporre solo di diritti limitati sul sistema, rispetto a quelli con privilegi di amministratore. 

[Importante] Security Update for Windows Registry (MS16-124): l’aggiornamento risolve diverse vulnerabilità in Microsoft Windows, che possono consentire l’elevazione di privilegi se un attaccante è in grado di accedere ad informazioni sensibili sul registro di sistema. 

[Critico] Security Update for Adobe Flash Player (MS16-127):il seguente aggiornamento di sicurezza risolve molteplici vulnerabilità in Adobe Flash Player installato in tutte le edizioni supportate di Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1 e Windows 10.

Gli aggiornamenti di sicurezza possono essere scaricati dal sito Microsoft Download Center. Per i sistemi desktop gli aggiornamenti possono essere ottenuti automaticamente mediante Microsoft Update.

2. Adobe Flash Player e Acrobat Reader

Dettagli delle vulnerabilità  risolte da questi aggiornamenti: 

a. Una vulnerabilità di tipo “Type Confusion” (CVE-2016-6992);

b. Una vulnerabilità use-after-free (CVE-2016-6981, CVE-2016-6987);

c. Una vulnerabilità di tipo “security bypass”  (CVE-2016-4286);

d. Vulnerabilità di corruzione della memoria che potrebbe provocare l'esecuzione di codice

Tutte queste vulnerabilità possono consentire ad un attaccante di eseguire codice arbitrario nell’ambito dell’utente corrente.  In  alcuni casi, il fallimento del tentativo di exploit, può comportare il verificarsi di condizioni di denial of service. 

Adobe Acrobat e Reader

a. Vulnerabilità use-after-free;

b. Vulnerabilità di buffer overflow; 

c. Vulnerabilità di corruzione della memoria;

d. Vulnerabilità integer overflow.

Queste vulnerabilità potrebbero provocare l'esecuzione di codice.

e. Vari metodi per bypassare le restrizioni alla esecuzione API Javascript;

Si invitano tutti gli utenti e gli amministratori di sistema di consultare i bollettini di sicurezza Adobe APSB16-32, APSB16-33 e di scaricare ed applicare gli aggiornamenti necessari. 

Versioni consigliate: 

Gli utenti Windows e OS X possono eseguire l’aggiornamento di Flash Player alla versione 23.0.0.185 visitando la pagina Download di Adobe Flash Player.

Gli utenti Linux dovrebbero invece aggiornare Flash Player alla versione 11.2.202.637. I plug-in di Flash Player contenuti in Google Chrome, Microsoft Edge e Internet Explorer saranno aggiornati automaticamente mediante i meccanismi di aggiornamento di questi browser.

Gli utenti Windows e OS X debbono aggiornare Adobe Acrobat DC e Reader DC, nelle distribuzioni Continuous e Classic, rispettivamente alle versioni 15.020.20039 e 15.006.30243, e Acrobat XI e Reader XI alla versione 11.0.18.