Riepilogo della vulnerabilità CVE-2015-2360

Anno di pubblicazione: 2015/06/09

Ultima revisione: 2015/06/10

Fonte: US-CERT / NIST

Panoramica

win32k.sys nei driver in modalità kernel in SP2 Microsoft Windows Server 2003 e R2 SP2, Windows Vista SP2, Windows Server 2008 SP2 e R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012 R2 e Gold, e Windows RT Gold e 8.1 permette agli utenti locali di ottenere privilegi o causare un denial of service (corruzione della memoria) tramite un'applicazione predisposta, alias "vulnerabilità Win32k dei privilegi più elevati"

Urto

CVSS Gravità (versione 2.0):

CVSS Punteggio v2 Base: 7.2 (ALTA) (AV:L/AC:L/Au:N/C:C/I:C/A:C) (leggenda)

Impatto sottopunteggio: 10.0

Subscore Exploitability: 3.9

CVSS Versione 2 Metrics:

Accesso vettoriale: localmente sfruttabili

Accesso Complessità: Low

Autenticazione: Non necessario per sfruttare

Tipo Impatto: Permette divulgazione non autorizzata di informazioni; Permette modifiche non autorizzate; Consente interruzione del servizio 

Fonte esterna: MS

Nome: MS15-061

Tipo: Advisory; Informazioni sulla patch

Hyperlink: http://technet.microsoft.com/security/bulletin/MS15-061

Il recente Duqu 2,0 ha utilizzato diverse vulnerabilità zero-day come parte del suo attacco. Una delle vulnerabilità usata era la CVE-2015-2360, che è stata fissata dal MS15-061 come parte del Patch day di giugno. Come CVE-2015-1701, questo è anche nel file Win32k.sys, che è comunemente preso di mira da malintenzionati per bypassare le tecniche di mitigazione delle vulnerabilità esistenti. La vulnerabilità risiede nel modo in cui le finestre vengono gestite dal sistema operativo.

Via: US-CERT

Oracle prepara il rilascio di numerose patch per fissare 78 vulnerabilità

Oracle si sta preparando a rilasciare un aggiornamento di sicurezza Martedì 19 luglio, al fine di patchare decine di vulnerabilità che colpiscono centinaia dei suoi prodotti. "Questa patch di aggiornamento critico contiene 78 nuovi aggiornamenti di sicurezza su vulnerabilità di centinaia di prodotti Oracle. Alcune delle vulnerabilità affrontate in questa patch di aggiornamento critico riguardano più prodotti", dichiara l'azienda. Trovata vulnerabilità in Oracle JRockit di Oracle Fusion Middleware, Oracle Secure Backup e SPARC Serie T3, SPARC Serie Netra T3 di Oracle Sun Products Suite portano il punteggio massimo della scala CVSS. Tredici vulnerabilità saranno patchate nel server database di Oracle, la più grave delle quali ha un punteggio CVSS base di 7.1. Due delle falle possono essere sfruttate da remoto. Tre falle saranno affrontate in Oracle Secure Backup. Tutte queste possono essere sfruttate attraverso la rete senza autenticazione e il loro punteggio più alto è 10. Nel frattempo, la famiglia dei prodotti Oracle Fusion Middleware riceverà sette correzioni di vulnerabilità, alcune delle quali affronteranno difetti per l'esecuzione di codice remoto. Un altra grande serie di patch si rivolgerà a diciotto vulnerabilità in Oracle Enterprise manager Grid Control. Nove di queste sono sfruttabili da remoto, ma il punteggio più alto CVSS è di 6,8. La catena di fornitura prodotti della suite Oracle e Oracle E -Business Suite riceveranno ciascuno una correzione di sicurezza per i difetti con un punteggio di 4 e 4,3 rispettivamente. Dodici le vulnerabilità che saranno affrontate nella famiglia di prodotti Oracle PeopleSoft. Solo una di esse può essere sfruttata da remoto. Tuttavia, il maggior numero di vulnerabilità, 23, sarà fissato nei prodotti ereditati da parte di Oracle Sun, tra cui Solaris e VirtualBox. "A causa della minaccia rappresentata da un attacco riuscito, Oracle raccomanda di applicare correzioni Critical Patch Update il più presto possibile", scrive la compagnia.

Aggiornamento della protezione Java corregge le vulnerabilità critiche

Oracle ha rilasciato gli aggiornamenti di sicurezza per Java SE e Java per il business che risolvono diverse vulnerabilità, alcune delle quali permettono agli aggressori di prendere il controllo del computer. L'aggiornamento risolve un totale di 21 vulnerabilità in JDK e JRE 6 Update 23 e precedenti, JDK 5.0 Update 27 e precedenti, e SDK 1.4.2_29 e precedenti.

Diciannove dei difetti possono essere sfruttati da remoto senza la necessità di autenticazione e può influenzare la riservatezza, l'integrità e la disponibilità dei dati a vari livelli. Otto vulnerabilità portano il più alto punteggio possibile CVSS di base 10,0, il che significa che hanno un impatto critico e può essere sfruttato per eseguire codice arbitrario. L'impatto è maggiore su Windows che su Linux o Solaris, perché di default di Java viene eseguito con privilegi amministrativi per il primo.

Vulnerabilità normalmente nominale con 10.0, hanno un punteggio di 7,5 se Java viene eseguito con un utente non-admin. Sfruttando le falle di minori impatto che non consentono l'esecuzione di codice arbitrario, gli aggressori possono ancora accedere a informazioni sensibili, aggirare le restrizioni o la negazione di innescare condizioni di servizio.

Le vulnerabilità sono causate da errori in una vasta gamma di componenti, tra cui le distribuzioni, Deployment, Sound, Swing, HotSpot, Install, JAXP, 2D, JDBC, Launcher, Networking, XML Digital Signature, and Security. Gli utenti sono invitati ad aggiornare a Java Runtime Environment 6 Update 24 immediatamente, soprattutto perché Java è attualmente l'applicazione più mirata in attacchi drive-by download. L'ultima versione di Java SE JRE può essere scaricata dal sito ufficiale di Oracle.