Quattrozero

Jul 09, 2023

Di Greg Lambert, Collaboratore, Computerworld |

Greg Lambert valuta i rischi per le applicazioni e gli ambienti esistenti nel ciclo Patch Tuesday di ogni mese.

Con l'aggiornamento Patch Tuesday di questo mese, Microsoft ha risolto 130 vulnerabilità di sicurezza, ha pubblicato due avvisi e ha incluso quattro importanti revisioni CVE. Abbiamo anche quattro giorni zero da gestire per Windows (CVE-2023-32046, CVE-2023-32049, CVE-2023-36874 e CVE-2023-36884), portando la piattaforma Windows in una pianificazione "patch now".

Dovrebbe essere più semplice concentrarsi sui test di Microsoft Office e Windows questo mese, poiché non sono disponibili aggiornamenti per Adobe, Exchange o browser. Assicurati di rivedere attentamente Storm 0978 di Microsoft in quanto fornisce indicazioni specifiche e utilizzabili sulla gestione della grave vulnerabilità HTML in Microsoft Office (CVE-2022-38023).

Il team di preparazione ha creato questa utile infografica per delineare i rischi associati a ciascuno degli aggiornamenti.

Microsoft ogni mese elenca i problemi noti relativi al sistema operativo e alle piattaforme incluse nell'ultimo ciclo di aggiornamento.

Microsoft ha pubblicato due revisioni principali:

Microsoft ha pubblicato le seguenti attenuazioni relative alle vulnerabilità per questa versione:

Ogni mese, il team di preparazione fornisce indicazioni dettagliate e utilizzabili sui test per gli ultimi aggiornamenti. Questa guida si basa sulla valutazione di un ampio portafoglio di applicazioni e su un'analisi dettagliata delle patch Microsoft e del loro potenziale impatto sulle piattaforme Windows e sulle installazioni delle applicazioni.

Se hai utilizzato server Web o applicazioni interni, varrà la pena testare il protocollo HTTP3, in particolare utilizzando Microsoft Edge. Oltre a questo aggiornamento per la gestione del protocollo, Microsoft ha apportato un numero significativo di modifiche e aggiornamenti allo stack di rete che richiedono i seguenti test:

Dato l’elevato numero di modifiche a livello di sistema di questo mese, ho suddiviso gli scenari di test in profili standard e ad alto rischio.

Dato che questo aggiornamento include la correzione di quattro (alcuni dicono cinque) difetti zero-day, questo mese abbiamo due principali fattori di cambiamento: modifiche alle funzionalità chiave nei sistemi principali e un’urgente necessità di fornire aggiornamenti. Microsoft ha documentato che due aree principali sono state aggiornate con significative modifiche alle funzionalità, tra cui la stampa e lo stack di rete locale (con particolare attenzione al routing). Di conseguenza, i seguenti test dovrebbero essere inclusi prima della distribuzione generale:

Le seguenti modifiche sono state incluse questo mese e non sono state segnalate come ad alto rischio (con esiti imprevisti) e non includono modifiche funzionali.

Tutti questi scenari di test richiederanno test significativi a livello di applicazione prima di una distribuzione generale. Date le modifiche incluse nelle patch di questo mese, il team di preparazione consiglia di eseguire i seguenti test prima della distribuzione generale:

Questo mese potrebbe essere un po' difficile testare l'automazione/gli script di Microsoft Office e l'integrazione con applicazioni di terze parti a causa del cambiamento in OLE e del modo in cui Microsoft ha affrontato CVE-2023-36884. Consigliamo un test completo delle macro di Excel (se utilizzano OLE/COM/DCOM) e di qualsiasi script VBS che includa Word.

Ecco le modifiche importanti alla manutenzione (e alla maggior parte degli aggiornamenti di sicurezza) per le piattaforme desktop e server Windows.

Ogni mese suddividiamo il ciclo di aggiornamento in famiglie di prodotti (come definite da Microsoft) con i seguenti raggruppamenti di base:

Difficile da credere, ma non ci sono aggiornamenti del browser in questo ciclo di aggiornamento. E non vediamo nemmeno nulla in arrivo per un rilascio a metà ciclo. Questo è un grande cambiamento e un enorme miglioramento rispetto ai tempi degli aggiornamenti del browser grandi, complessi e urgenti. Vai Microsoft!

Microsoft ha rilasciato otto aggiornamenti critici e 95 patch ritenute importanti per la piattaforma Windows, coprendo questi componenti chiave: