Alert GCSA-20004 - Microsoft Security Update Gennaio 2020
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
******************************************************************
alert ID: GCSA-20004
data: 15 gennaio 2020
titolo: Microsoft Security Update Gennaio 2020
******************************************************************
:: Descrizione del problema
Microsoft ha rilasciato il security update mensile, questa versione
risolve 49 vulnerabilita', 8 delle quali sono classificate come
"critiche".
La vulnerabilita' piu' grave riguarda la libreria crittografica di Windows,
Windows CryptoAPI (Crypt32.dll) spoofing vulnerability CVE-2020-0601,
il bug e' stato scoperto e segnalato dalla National Security Agency.
Rilevanti anche due vulnerabilita' del genere "BlueKeep"
nel Remote Desktop Gateway (CVE-2020-0609 e CVE-2020-0610)
Maggiori dettagli sono disponibili nella segnalazione
ufficiale alla sezione "Riferimenti".
Nota: il 14 gennaio 2020 e' terminato il supporto per Windows 7
https://support.microsoft.com/it-it/help/4057281/windows-7-support-ended-on-january-14-2020
:: Software interessato
Microsoft Windows
Microsoft Windows Server
Internet Explorer
Microsoft Office, Office Services e Web Apps
ASP.NET Core
.NET Core
.NET Framework
OneDrive per Android
Microsoft Dynamics
:: Impatto
Esecuzione remota di codice arbitrario (RCE)
Denial of Service (DoS)
Spoofing
Bypass delle funzionalita' di sicurezza (SFB)
Information Disclosure (ID)
Acquisizione di privilegi piu' elevati (EoP)
Cross Site Scripting (XSS)
:: Soluzioni
Per default l'installazione degli aggiornamenti
avviene in maniera automatica.
Verificare di aver installato la versione piu' recente
del Servicing Stack Updates:
Latest Servicing Stack Updates
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV990001
Windows Update domande frequenti
https://support.microsoft.com/it-it/help/12373/windows-update-faq
Gli aggiornamenti sono disponibili anche tramite il catalogo di Microsoft Update
https://www.catalog.update.microsoft.com/Home.aspx
:: Riferimenti
Microsoft January 2020 Security Updates - Release Notes
https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Jan
Microsoft Security Update Guide
https://portal.msrc.microsoft.com/en-us/security-guidance
Microsoft Security update deployment information: January 14, 2020
https://support.microsoft.com/en-us/help/20200114/security-update-deployment-information-january-14-2020
CVE-2020-0601 - Windows CryptoAPI Spoofing Vulnerability
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601
National Security Agency (NSA) - Cybersecurity Advisory
https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF
CISA Alert (AA20-014A) Critical Vulnerabilities in Microsoft Windows
https://www.us-cert.gov/ncas/alerts/aa20-014a
CERT CC - Windows CryptoAPI fails to properly validate ECC certificate chains
https://kb.cert.org/vuls/id/849224/
CERT CC - Windows RD Gateway allows for unauthenticated RCE
https://kb.cert.org/vuls/id/491944/
CERT-PA
https://www.cert-pa.it/notizie/rilascio-aggiornamenti-di-sicurezza-microsoft-e-adobe-gennaio-2020/
ISC SANS
https://isc.sans.edu/diary/Microsoft+Patch+Tuesday+for+January+2020/25710
ZDI
https://www.thezdi.com/blog/2020/1/14/the-january-2020-security-update-review
Mitre CVE
I riferimenti CVE sono disponibili nell'advisory originale.
GARR CERT Security Alert - subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
iD8DBQFeHyiiwZxMk2USYEIRAjPyAJ9Zrao4KaKYZoaVgq+PskTMEj1KxwCguMOm
IEfRhQYS/pJaEucIu+DdGGw=
=aFfb
-----END PGP SIGNATURE-----
Hash: SHA1
******************************************************************
alert ID: GCSA-20004
data: 15 gennaio 2020
titolo: Microsoft Security Update Gennaio 2020
******************************************************************
:: Descrizione del problema
Microsoft ha rilasciato il security update mensile, questa versione
risolve 49 vulnerabilita', 8 delle quali sono classificate come
"critiche".
La vulnerabilita' piu' grave riguarda la libreria crittografica di Windows,
Windows CryptoAPI (Crypt32.dll) spoofing vulnerability CVE-2020-0601,
il bug e' stato scoperto e segnalato dalla National Security Agency.
Rilevanti anche due vulnerabilita' del genere "BlueKeep"
nel Remote Desktop Gateway (CVE-2020-0609 e CVE-2020-0610)
Maggiori dettagli sono disponibili nella segnalazione
ufficiale alla sezione "Riferimenti".
Nota: il 14 gennaio 2020 e' terminato il supporto per Windows 7
https://support.microsoft.com/it-it/help/4057281/windows-7-support-ended-on-january-14-2020
:: Software interessato
Microsoft Windows
Microsoft Windows Server
Internet Explorer
Microsoft Office, Office Services e Web Apps
ASP.NET Core
.NET Core
.NET Framework
OneDrive per Android
Microsoft Dynamics
:: Impatto
Esecuzione remota di codice arbitrario (RCE)
Denial of Service (DoS)
Spoofing
Bypass delle funzionalita' di sicurezza (SFB)
Information Disclosure (ID)
Acquisizione di privilegi piu' elevati (EoP)
Cross Site Scripting (XSS)
:: Soluzioni
Per default l'installazione degli aggiornamenti
avviene in maniera automatica.
Verificare di aver installato la versione piu' recente
del Servicing Stack Updates:
Latest Servicing Stack Updates
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV990001
Windows Update domande frequenti
https://support.microsoft.com/it-it/help/12373/windows-update-faq
Gli aggiornamenti sono disponibili anche tramite il catalogo di Microsoft Update
https://www.catalog.update.microsoft.com/Home.aspx
:: Riferimenti
Microsoft January 2020 Security Updates - Release Notes
https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Jan
Microsoft Security Update Guide
https://portal.msrc.microsoft.com/en-us/security-guidance
Microsoft Security update deployment information: January 14, 2020
https://support.microsoft.com/en-us/help/20200114/security-update-deployment-information-january-14-2020
CVE-2020-0601 - Windows CryptoAPI Spoofing Vulnerability
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601
National Security Agency (NSA) - Cybersecurity Advisory
https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF
CISA Alert (AA20-014A) Critical Vulnerabilities in Microsoft Windows
https://www.us-cert.gov/ncas/alerts/aa20-014a
CERT CC - Windows CryptoAPI fails to properly validate ECC certificate chains
https://kb.cert.org/vuls/id/849224/
CERT CC - Windows RD Gateway allows for unauthenticated RCE
https://kb.cert.org/vuls/id/491944/
CERT-PA
https://www.cert-pa.it/notizie/rilascio-aggiornamenti-di-sicurezza-microsoft-e-adobe-gennaio-2020/
ISC SANS
https://isc.sans.edu/diary/Microsoft+Patch+Tuesday+for+January+2020/25710
ZDI
https://www.thezdi.com/blog/2020/1/14/the-january-2020-security-update-review
Mitre CVE
I riferimenti CVE sono disponibili nell'advisory originale.
GARR CERT Security Alert - subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
iD8DBQFeHyiiwZxMk2USYEIRAjPyAJ9Zrao4KaKYZoaVgq+PskTMEj1KxwCguMOm
IEfRhQYS/pJaEucIu+DdGGw=
=aFfb
-----END PGP SIGNATURE-----