Windows 10, diffuso exploit critico su protocollo HTTP: meglio aggiornare subito

Windows 10, diffuso exploit critico su protocollo HTTP: meglio aggiornare subito

E' stata diffusa una demo che mostra come attaccare i sistemi Windows più aggiornati per eseguire codice arbitrario da remoto. Il fix è già in roll-out, ed è meglio aggiornare subito

di pubblicata il , alle 14:14 nel canale Sistemi Operativi
MicrosoftWindows
 

Nel corso del fine settimana è stato rilasciato il codice proof-of-concept di una vulnerabilità "wormable" critica presente nelle ultime versioni di Windows 10 e Windows Server. Il bug, riconoscibile come CVE-2021-31166, è stato trovato nell'HTTP Protocol Stack (file HTTP.sys) utilizzato dal server Web Windows Internet Information Services (IIS) come listener di protocollo per l'elaborazione delle richieste HTTP. Si tratta di una vulnerabilità già corretta e che non dovrebbe destare preoccupazione per gli utenti che hanno già ricevuto le patch rilasciate l'11 maggio.

Nei fix rilasciati durante l'ultimo Patch Tuesday Microsoft ha corretto la vulnerabilità, che riguardava solo Windows 10 2004 e 20H2 e versioni Server correlate. Per eseguire l'exploit l'attaccante doveva creare pacchetti opportunamente modificati e inviarli al server da colpire utilizzando l'HTTP Protocol Stack vulnerabile per elaborare gli stessi pacchetti. Secondo Microsoft l'aggressore può eseguire codice arbitrario da remoto anche se privo di autenticazione sul server, e quindi è caldamente consigliato installare la patch su tutti i server potenzialmente coinvolti.

Il codice proof-of-concept è stato rilasciato dal ricercatore di sicurezza Axel Souchet, ed è stato divulgato ovviamente solo a scopo informativo, non avendo alcuna capacità di diffusione automatica. L'exploit abusa di una funzionalità di HTTP.sys per provocare un DoS (denial of service), che a sua volta genera una BSOD sui sistemi vulnerabili. La schermata blu può essere solo uno dei problemi, visto che con codice diverso il bug può garantire l'esecuzione di codice malevolo sulle macchine vulnerabili, almeno stando a quanto dichiarato da Microsoft.

La diffusione della demo potrebbe consentire a potenziali attaccanti di sviluppare attacchi malevoli con le modalità descritte da Souchet, consentendo l'esecuzione di codice sulle macchine coinvolte. Tuttavia la patch è stata già rilasciata e dovrebbe essere già installata sulla stragrande maggioranza dei sistemi connessi sia professionali che domestici. Allo stesso modo, la maggior parte delle aziende è probabilmente al sicuro dal bug CVE-2021-31166, visto che difficilmente sui server sensibili vengono utilizzate le ultime versioni di Windows Server. Negli ultimi due anni Microsoft ha corretto altri bug wormable presenti sulla piattaforma Remote Desktop Services (RDS) (BlueKeep), sul protocollo Server Message Block v3 (SMBGhost) e su Windows DNS Server (SIGRed). 

Seguici sul nostro canale Instagram, tante novità in arrivo!

13 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
Pino9018 Maggio 2021, 14:26 #1
Scusate l'ignoranza, ma HTTP non "S" non è deprecato da tipo anni?

E visto che esiste da una vita HTTPS e che la conversione, da quel poco che capisco, è piuttosto semplice, perchè si dovrebbe voler usare la versione classica in chiaro?
matsnake8618 Maggio 2021, 14:33 #2
Semplicemente perchè ti serve un certificato SSL per attivare https.
E magari per un server web privato non è necessario averne uno.

È piuttosto facile trovare server per web app private che non girano su https.
Cfranco18 Maggio 2021, 14:38 #3
Originariamente inviato da: Pino90
Scusate l'ignoranza, ma HTTP non "S" non è deprecato da tipo anni?

No, è solo Chrome che rompe le balle
Originariamente inviato da: Pino90
E visto che esiste da una vita HTTPS e che la conversione, da quel poco che capisco, è piuttosto semplice, perchè si dovrebbe voler usare la versione classica in chiaro?

il certificato https costa, e la conversione non è detto che sia così semplice
kliffoth18 Maggio 2021, 15:45 #4
Originariamente inviato da: Pino90
Scusate l'ignoranza, ma HTTP non "S" non è deprecato da tipo anni?

E visto che esiste da una vita HTTPS e che la conversione, da quel poco che capisco, è piuttosto semplice, perchè si dovrebbe voler usare la versione classica in chiaro?



Per l'ignoranza c'è il vocabolario
[B]https://www.treccani.it/vocabolario/deprecare[/B]

deprecare v. tr. [dal lat. deprecari, comp. di de- e precari «pregare»] (io deprèco, tu deprèchi, ecc.; alla lat. dèpreco, ecc.).
– 1. In senso proprio (letter.), pregare perché un male, una sciagura, un danno sia tenuto lontano; scongiurare: Sciogliean le chiome, indarno ahi! deprecando Da’ lor mariti l’imminente fato (Foscolo).
2. Con sign. meno proprio, nell’uso com., esprimere viva riprovazione per qualche cosa: tutti hanno deprecato il suo comportamento, il suo gesto; la guerra civile è stata scatenata proprio dalla classe borghese che tanto la depreca, a parole (Gramsci).
Pino9018 Maggio 2021, 15:50 #5
Originariamente inviato da: kliffoth
Per l'ignoranza c'è il vocabolario
[B]https://www.treccani.it/vocabolario/deprecare[/B]

deprecare v. tr. [dal lat. deprecari, comp. di de- e precari «pregare»] (io deprèco, tu deprèchi, ecc.; alla lat. dèpreco, ecc.).
– 1. In senso proprio (letter.), pregare perché un male, una sciagura, un danno sia tenuto lontano; scongiurare: Sciogliean le chiome, indarno ahi! deprecando Da’ lor mariti l’imminente fato (Foscolo).
2. Con sign. meno proprio, nell’uso com., esprimere viva riprovazione per qualche cosa: tutti hanno deprecato il suo comportamento, il suo gesto; la guerra civile è stata scatenata proprio dalla classe borghese che tanto la depreca, a parole (Gramsci).


Mi sembra più che appropriato per HTTP, quindi!

Per gli altri che invece hanno fatto interventi costruttivi, grazie!
matsnake8618 Maggio 2021, 16:03 #6
Originariamente inviato da: kliffoth
Per l'ignoranza c'è il vocabolario
[B]https://www.treccani.it/vocabolario/deprecare[/B]

deprecare v. tr. [dal lat. deprecari, comp. di de- e precari «pregare»] (io deprèco, tu deprèchi, ecc.; alla lat. dèpreco, ecc.).
– 1. In senso proprio (letter.), pregare perché un male, una sciagura, un danno sia tenuto lontano; scongiurare: Sciogliean le chiome, indarno ahi! deprecando Da’ lor mariti l’imminente fato (Foscolo).
2. Con sign. meno proprio, nell’uso com., esprimere viva riprovazione per qualche cosa: tutti hanno deprecato il suo comportamento, il suo gesto; la guerra civile è stata scatenata proprio dalla classe borghese che tanto la depreca, a parole (Gramsci).


Inutile fare i grammar nazi... In informatica deprecato è riconosciuto come termine (importato chiaramente dall'inglese) per indicare una parte di software di cui si sconsigli l'utilizzo e che viene mantenuta solo per retrocompatibilità.

https://accademiadellacrusca.it/it/...informatica/899
andrew0418 Maggio 2021, 16:51 #7
Originariamente inviato da: Cfranco
No, è solo Chrome che rompe le balle


In realtà parecchi browser al momento ti sconsigliano di visitare siti http

il certificato https costa, e la conversione non è detto che sia così semplice


Esiste Let's Encrypt
https://letsencrypt.org/

https://letsencrypt.org/about/
We give people the digital certificates they need in order to enable HTTPS (SSL/TLS) for websites, for free, in the most user-friendly way we can. We do this because we want to create a more secure and privacy-respecting Web.
kliffoth18 Maggio 2021, 18:59 #8
Originariamente inviato da: matsnake86
Inutile fare i grammar nazi... In informatica deprecato è riconosciuto come termine (importato chiaramente dall'inglese) per indicare una parte di software di cui si sconsigli l'utilizzo e che viene mantenuta solo per retrocompatibilità.

https://accademiadellacrusca.it/it/...informatica/899


Articolo molto interessante, davvero, ma non sdogana l'uso di deprecato in forma ufficiale, si limita a fare il punto della situazione.

Per inciso io sono pro english, lo uso spesso anche in un testo italiano, ma non sopporto le italianizzazioni: "droppare" "killare" "farmare", al limite preferisco leggere il termine inglese
Sono anche favorevole all'uso di termini inglesi ormai di uso comune, ma non nella forma italianizzata (ad esempio accetterei "ma http non è già da tempo deprecated?" così da far capire al lettore che si usa un termine inglese non ben traducibile in italiano ma non si crea un dubbio neologismo....però con questo termine viene proprio male, davvero una parola ostica)

Ovviamente odio i titoli dei giornali con "ecco", l'uso di "piuttosto che" come o etc etc

Il fatto è che il linguaggio è un codice, e già usandolo correttamente, senza scomodare Wittgenstein, non è sicuro che ciò che io dica sia ciò che effettivamente capisca l'interlocutore.
Senza voler fare i bigotti e senza negare l'evoluzione della lingua stessa, non occorre abbruttirla o renderla meno chiara senza motivo.
Ovviamente anche io faccio i miei errori
Marko_00118 Maggio 2021, 19:06 #9
è disponibile il media creation per
scaricare le iso per aggiornare Windows 10 a maggio 2021
oppure il link per l'aggiornamento diretto

18/05 ore 19.05 ita
steverm18 Maggio 2021, 20:24 #10
inoltre ci sono provider che vogliono fino a 150 euro per darti l'HTTPS (mentre altri come Aruba te lo danno gratis) e spesso i proprietari di siti web vetrina che spedono 15 euro l'anno per tenere il proprio sito pagato al webmaster 200 euro evitano di acquistarlo

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^