Microsoft rilascia le patch per Internet Explorer e Visual Studio

Non solo le patch per correggere alcuni problemi definiti critici per IE e Visual Studio ma anche le spiegazioni del problema direttamente da Feliciano Intini, Chief Security Advisor di Microsoft Italia.

Microsoft ha appena rilasciato due bollettini (MS09-034 e MS09-035) e il relativo “Microsoft Security Advisory (973882) - Vulnerabilities in Microsoft Active Template Library (ATL) Could Allow Remote Code Execution”.
A seguire ecco uno stralcio sulle spiegazioni in merito agli ultimi aggiornamenti in tema sicurezza direttamente dal blog di Feliciano Intini, Chief Security Advisor di Microsoft Italia, con tutte le indicazioni.
Visto la situazione non è possibile sapere a priori quali ActiveX presenti in circolazione siano vulnerabili o meno, dal momento che possono esserlo tutti quelli realizzati usando la libreria ATL e nel modo pericoloso che ha generato questi problemi. E’ importante ribadire che le informazioni su queste vulnerabilità sono state comunicate a Microsoft in modo responsabile e che gli unici attacchi di cui si è a conoscenza relativi a questa tipologia di vulnerabilità sono quelli che sono stati già indirizzati dal bollettino MS09-032 emesso lo scorso 14 luglio.
Se il problema appare complesso e di ampio impatto, altrettanto ricco e strutturato è stato lo sforzo Microsoft per proteggere i clienti nel modo più completo possibile, e questo è stato fatto operando essenzialmente in due direzioni:

Migliorare la protezione a disposizione di tutti gli utenti finali di fronte a questa tipologia di vulnerabilità: questo è stato fatto con l’introduzione di miglioramenti ad Internet Explorer tramite il bollettino MS09-034, che a questo punto va considerato un MUST-HAVE, un bollettino assolutamente necessario per tutte le versioni di Windows (tranne Windows 7 che non è interessato da queste vulnerabilità).
Supportare gli sviluppatori di applicazioni nel poter capire quali componenti da loro sviluppati siano interessati da questo problema e come correggere tali problemi.

Queste le raccomandazioni distinte per tipologia di utenti:Utenti finali

Assicurarsi di aver abilitato il meccanismo degli Aggiornamenti Automatici di Windows (e degli altri prodotti, ove possibile) in modo da ricevere e installare automaticamente gli aggiornamenti che servono (in prima battuta, il fondamentale MS09-034).
Se possibile, aggiornare Internet Explorer alla versione 8, in virtù del maggior livello di protezione offerto da questa versione.

Professionisti IT

Installare l’aggiornamento MS09-034
Assicurarsi che tutti i prodotti di altri fornitori siano adeguatamente aggiornati (e vengano aggiornati appena possibile, se contengono componenti vulnerabili)
Assicurarsi che gli sviluppatori siano a conoscenza di questa problematica.

Sviluppatori

Ovviamente le stesse raccomandazioni elencate per gli utenti finali e i professionisti IT, e in aggiunta:
Aggiornare i sistemi che vengono usati per sviluppare applicazioni con l’aggiornamento MS09-035 per Visual Studio.
Valutare se i componenti e i controlli realizzati tramite l’uso della libreria ATL siano interessati da questo problema (in particolare verrà reso disponibile sul sito ICASI un servizio di scansione applicativa fornito da Verizon Business)
Seguire le linee guida indicate nel bollettino MS09-035, nel Security Advisory e negli articoli MSDN per gli sviluppatori referenziati in basso per poter procedere alla correzione dei problemi, alla ricompilazione delle applicazioni e la loro ridistribuzione.