Sono ben dodici i bollettini di
sicurezza che
Microsoft ha rilasciato, secondo le consuete scadenze mensili, nel mese
di giugno e che vanno a correggere diversi problemi di un gran numero
di piattaforme software della casa di Redmond. Windows, Internet
Explorer, PowerPoint, Windows Media Player e le suite di
produttività Office e Works sono i software che vanno
immediatamente aggiornati attraverso le procedure guidate messe a
disposizione dai due siti Microsoft
Update
e Office Update.
Otto bollettini coprono dei problemi di sicurezza che
Microsoft
considera critici e che potrebbero dunque
permettere
di installare software nocivo senza il permesso dell'utente. Tre
bollettini sono segnati come importanti mentre uno è segnato
come moderato. In totale sono 21 gli errori corretti dall'aggiornamento
di giugno.
Windows è affetto
dalla vulnerabilità
in tutte le sue versioni, a partire dalla 98 per finire alla Windows
Server 2003. Le falle di Internet Explorer
riguardano
il browser nelle versioni 5.01 e 6 mentre Windows Media
Player
deve essere corretto nelle versioni 7.1, 9 e 10. Le versioni di Word
da aggiornare sono la 2000, 2002 e 2003, lo stesso per PowerPoint
mentre Works soffre dei problemi dalla
versione 2002.
Il bug segnato come "importante" riguarda invece Exchange
Server 2000 e 2003. Il bollettino MS06-026
riguarda
solamente sistemi Windows 98, e 98 SE, e
Windows ME.
Il problema che appare più grave
è
quello contenuto nel bollettino MS06-025 e riguarda alcuni errori dei
servizi Routing and Remote Access Service (RAS), servizi che nei
computer Windows consentono le connessioni a computer remoti attraverso
un modem analogico. In Windows 2000 il servizio oggetto della
correzione è, per impostazioni predefinite, attivato e non
protetto da firewall, basta dunque un semplice attacco da remoto, senza
l'interazione dell'utente, per eseguire programmi nocivi sul computer
dell'utente. Il servizio non è attivato di default su
Windows XP
e su Windows Server 2003.
Altri problemi che riguardano il sistema operativo Windows
sono
contenuti nel bollettino MS06-022 che descrive un errore generato dalla
visualizzazione di immagini in formato Art, un formato di
immagini
grafiche proprietario del provider Interne America OnLine (AOL)
visualizzato in Windows, in particolare in Internet Explorer, per mezzo
di un componente integrato nel sistema operativo. Un utente esterno
potrebbe con facilità installare programmi nocivi
semplicemente
costringendo un utente a visualizzare un'immagine .Art appositamente
predisposta per generare l'errore.
Il bollettino MS06-021 corregge 8 vulnerabilità in Internet
Explorer, molte delle quali critiche. Le
vulnerabilità
sono di diversa natura: alcune riguardano la gestione dei caratteri in
formato UTF-8; altre interessano la gestione dei componenti esterni
ActiveX o la gestione di alcuni oggetti del software. In altri casi le
vulnerabilità possono aprire le porte ad attacchi di
phishing
facendo visualizzare nella barra degli indirizzi del browser un
indirizzo diverso da quello reale del sito visitato. Nella maggior
parte dei casi gli errori consentono l'esecuzione di programmi nocivi
semplicemente facendo visualizzare al browser di Microsoft una pagina
Web appositamente formattata per gestire gli errori. Nei casi meno
gravi un utente potrebbe essere indotto a navigare in siti non
affidabili.
Il bollettino MS06-023 corregge dei problemi nel motore
JScript di Internet Explorer, il componente che esegue
il
codice JavaScript all'interno del browser. Per mezzo di codice
JavaScript appositamente formattato per la gestione dell'errore, il
browser potrebbe essere indotto ad eseguire codice nocivo all'interno
del sistema. L'errore potrebbe essere sfruttato anche per mezzo di
e-mail contenenti codice JavaScript, tuttavia Outlook nei sistemi
aggiornati esegue le pagine Web in un ambiente protetto. Un simile
errore era già stato corretto da Microsoft nel bollettino
MS03-008.
L'errore di Windows Media Player
è
descritto nel bollettino MS06-024 e riguarda la gestione da parte del
player multimediale delle immagini in formato Png.
Visualizzando
all'interno di Media Player un'immagine Png appositamente creata per
sfruttare l'errore si aprirebbero le porte all'esecuzione di programmi
nocivi. La vulnerabilità potrebbe essere eseguita facendo
visualizzare al player anche un file in formato Wmf, normalmente
utilizzato da Media Player per riprodurre filmati.
Le vulnerabilità dei software Office
sono
contenute invece nei bollettini MS06-027 e MS06-028. Il primo corregge
la vulnerabilità ben nota del software Word, ampiamente
divulgata dagli organi di informazione. L'errore consentiva
ad un
utente malintenzionato di eseguire sui computer qualsiasi tipo di
programma semplicemente forzando gli utenti a visualizzare un documento
scritto in formato Word. A dispetto di quanto già affermato,
la
vulnerabilità si presenta anche su Microsoft Word Viewer
2003,
inizialmente escluso dalla lista dei software vulnerabili. Una
vulnerabilità simile, ma relativa ai file Ppt, è
stata
corretta nelle versioni PowerPoint presenti in Office 2000, XP, 2003
per Windows e 2004 e X per Mac e descritta nel bollettino MS06-28.
