Microsoft rilascia l'aggiornamento di emergenza per la protezione di Internet Explorer
- Categoria: Internet Explorer
Microsoft ha rilasciato un aggiornamento della sicurezza di emergenza fuori banda per Internet Explorer il 23 settembre 2019 per tutte le versioni supportate di Windows.
L'aggiornamento di emergenza è disponibile solo sul sito Web del catalogo Microsoft Update al momento della scrittura e non tramite Windows Update o WSUS.
Alcuni articoli di supporto forniscono poche informazioni. La descrizione dell'aggiornamento di Windows 10 afferma semplicemente '
Aggiornamenti per migliorare la sicurezza durante l'utilizzo di Internet Explorer 'senza entrare in ulteriori dettagli. La pagina si collega alla Guida sull'aggiornamento della sicurezza che, dopo alcuni approfondimenti, porta al CVE della vulnerabilità.
La pagina di supporto per l'aggiornamento cumulativo per Internet Explorer offre ulteriori informazioni e un collegamento diretto al CVE .
Si afferma:
Questo aggiornamento per la protezione risolve una vulnerabilità in Internet Explorer. Esiste una vulnerabilità legata all'esecuzione di codice in modalità remota nel modo in cui il motore di scripting gestisce gli oggetti in memoria in Internet Explorer. La vulnerabilità potrebbe danneggiare la memoria in modo tale che un utente malintenzionato possa eseguire codice arbitrario nel contesto dell'utente corrente. L'aggiornamento per la protezione risolve la vulnerabilità modificando il modo in cui il motore di scripting gestisce gli oggetti in memoria.
Le stesse informazioni sono fornite anche nella pagina CVE. Microsoft rileva che un utente malintenzionato potrebbe assumere il controllo del sistema attaccato se l'attacco ha esito positivo, il che consentirebbe all'aggressore di installare o rimuovere programmi, visualizzare, modificare o eliminare file o creare nuovi account utente.
La questione della sicurezza è sfruttata attivamente secondo Microsoft; un utente malintenzionato potrebbe creare un sito Web appositamente preparato per sfruttare il problema in Internet Explorer.
Microsoft ha pubblicato una soluzione alternativa per proteggere i sistemi se gli aggiornamenti rilasciati non possono essere installati a questo punto. La soluzione alternativa potrebbe ridurre la funzionalità 'per componenti o funzionalità che si basano su jscript.dll'.
I comandi devono essere eseguiti da un prompt dei comandi con privilegi elevati.
Soluzione alternativa per sistemi a 32 bit:
- takeown / f% windir% system32 jscript.dll
- cacls% windir% system32 jscript.dll / E / P tutti: N
Soluzione alternativa per sistemi a 64 bit:
- takeown / f% windir% syswow64 jscript.dll
- cacls% windir% syswow64 jscript.dll / E / P tutti: N
- takeown / f% windir% system32 jscript.dll
- cacls% windir% system32 jscript.dll / E / P tutti: N
La soluzione alternativa può essere annullata eseguendo i seguenti comandi da un prompt dei comandi con privilegi elevati:
Annulla 32 bit:
- cacls% windir% system32 jscript.dll / E / R tutti
Annulla 64 bit
- cacls% windir% system32 jscript.dll / E / R tutti
- cacls% windir% syswow64 jscript.dll / E / R tutti
Elenco degli aggiornamenti che risolvono la vulnerabilità:
- Windows 10 versione 1903: KB4522016
- Windows 10 versione 1809 e Server 2019: KB4522015
- Windows 10 versione 1803: KB4522014
- Windows 10 versione 1709: KB4522012
- Windows 10 versione 1703: KB4522011
- Windows 10 versione 1607 e Server 2016: KB4522010
- Aggiornamento cumulativo di IE per le versioni precedenti di Windows: KB4522007
E gli aggiornamenti di Windows?
Microsoft non ha rilasciato l'aggiornamento tramite Windows Update o WSUS. Susan Bradley Appunti che la società potrebbe rilasciare l'aggiornamento il 24 settembre 2019 tramite Windows Update e WSUS ma ciò non è stato confermato da Microsoft.
È un po 'sconcertante che Microsoft rilasci un aggiornamento di sicurezza fuori banda che risolve un problema che viene sfruttato in natura, ma sceglie di rilasciarlo come aggiornamento che deve essere scaricato e installato solo manualmente.
Parole di chiusura
Dovresti o non dovresti installare subito l'aggiornamento? Si tratta di un aggiornamento per la protezione, ma al momento della scrittura è disponibile solo tramite il sito Web del catalogo di Microsoft Update.
Consiglierei comunque di installarlo ma dovresti creare un backup di sistema, ad es. utilizzando Macrium Reflect o Paragon Backup e recupero gratuito , prima di farlo come non si sa mai che in questi giorni gli aggiornamenti introducono effetti collaterali indesiderati o problemi propri.
Ora tu : installa o aspetta, qual è la tua posizione?