Gli aggiornamenti di sicurezza del mese di dicembre di Microsoft risolvono i bug di SharePoint RCE
Microsoft ha pubblicato il batch mensile di aggiornamenti di sicurezza dell’azienda, noto come Patch Tuesday, con 58 correzioni di vulnerabilità totali, comprese le vulnerabilità critiche legate all’esecuzione di codice in modalità remota in più versioni di SharePoint.
C’è un numero inferiore di correzioni a dicembre rispetto alle oltre 100 correzioni regolari spedite ogni mese, tutte non meno gravi.
Oltre 22 patch di questo mese sono classificate come vulnerabilità RCE di esecuzione di accesso remoto. Queste vulnerabilità possono essere facilmente sfruttate (tramite Internet o da una rete locale) e quindi devono essere affrontate immediatamente.
I prodotti per la vulnerabilità RCE per questo mese includono Windows NTFS, Exchange Server, Microsoft Dynamics, Excel, PowerPoint, SharePoint, Visual Studio e Hyper-V.
I tre bug più votati per questo mese sono bug RCE che incidono su Exchange Server (CVE-2020-17143, CVE-2020-17144, CVE-2020-17141, CVE-2020-17117, CVE-2020-17132 e CVE-2020- 17142) e SharePoint (CVE-2020-17118 e CVE-2020-17121).
Bug RCE di pre-autenticazione di SharePoint
I punti salienti degli aggiornamenti di sicurezza di questo mese, senza dubbio, sono i due bug di sicurezza RCE CVE-2020-17121 e CVE-2020-17118 che interessano Microsoft SharePoint.
Gli aggressori sfruttano la vulnerabilità CVE-2020-17118 inducendo le persone ad aprire file di Office dannosi. È disponibile anche il codice di exploit CVE-2020-17118 proof-of-concept, secondo le informazioni fornite da Microsoft nell’avviso di sicurezza, sebbene sia probabile che sia condiviso privatamente.
Jonathan Birth, un ingegnere senior del software per la sicurezza con il team di sicurezza di Microsoft Office, ha scoperto questo bug che interessava Microsoft SharePoint Server 2019, Microsoft SharePoint Enterprise Server 2016, Microsoft SharePoint Foundation 2013 Service Pack 1 e Microsoft SharePoint Foundation 2010 Service Pack 2.
Microsoft afferma: “Il codice o la tecnica non è funzionale in tutte le situazioni e potrebbe richiedere modifiche sostanziali da parte di un utente malintenzionato esperto”.
L’Inganno 2020 Patch Tuesday risolve i bug che potrebbero consentire l’esecuzione di codice in modalità remota su sistemi Windows con edizioni click to run vulnerabili ed edizioni basate su Installer (.msi) dei prodotti Microsoft Office.
Gli aggiornamenti di sicurezza vengono forniti tramite la piattaforma di aggiornamento Microsoft e tramite l’Area download.
