Aggiornamenti recenti Aprile 18th, 2024 2:00 PM
Mag 26, 2023 Marina Londei Approfondimenti, Minacce, RSS, Vulnerabilità 0
Il Patch Tuesday di Microsoft ha senza dubbio migliorato la sicurezza dei suoi clienti, e il programma, arrivato quest’anno alla sua ventesima edizione, ha avuto talmente tanto successo da essere stato riproposto anche da altre realtà tech.
Come però fa notare Jacob Baines, ricercatore di sicurezza presso VulnCheck, la qualità dei dettagli delle vulnerabilità pubblicati dall’azienda si è ridotta nel corso degli anni. Baines ha comparato la descrizione di una vulnerabilità del 2017 con quella di QueueJumper del 2023: nel primo caso la descrizione conteneva indicazioni sulle applicazioni colpite, dettagli sulla classe della vulnerabilità e il vettore d’attacco; nel secondo caso il testo è una sola riga priva di tutti i dettagli utili.
Il confronto non si è limitato a pochi casi isolati: Baines ha analizzato le descrizioni CVE di Microsoft a partire dal 2003 calcolando una media del numero di caratteri, e ne è emerso un trend discendente che è crollato negli ultimi due anni.
L’assenza di descrizioni appropriate è un problema per i team di sicurezza: non riescono a dare la giusta priorità ai fix ed è difficile per loro capire quali sono le conseguenze della vulnerabilità.
Le CVE condivise da Microsoft non rispettano i requisiti descrittivi imposti da MITRE, ma l’organizzazione non ha ancora preso provvedimenti. A riprova del fatto che le descrizioni delle vulnerabilità di Microsoft siano incomplete, Braines ha provato a seguire le indicazioni del Common Weakness Enumeration (CWE), il sistema più usato per categorizzare le vulnerabilità in classi di rischio e tipologia.
Se la descrizione della vulnerabilità non contiene informazioni utili e sufficienti per categorizzarla, allora CWE assegna la categoria “noinfo” per indicare la mancanza di dettagli necessari; questo è ciò che è accaduto per la maggior parte delle vulnerabilità Microsoft del 2022. Al contrario, nel 2015 la categoria “noinfo” era stata assegnata solo a una manciata di CVE dell’azienda.
Non solo Microsoft non condivide informazioni dettagliate nel dizionario CVE: l’azienda non mantiene aggiornati i propri avvisi di sicurezza, rendendo più difficile il lavoro dei team di cybersecurity, costretti a cercare fonti esterne per comprendere l’impatto delle minacce.
Non sono chiari i motivi per cui Microsoft abbia deciso di ridurre al minimo le descrizioni; una possibilità è che non voglia facilitare il lavoro agli attaccanti. Al momento, però, l’unica conseguenza davvero significativa l’hanno subita i team di sicurezza.
Apr 17, 2024 0
Apr 10, 2024 0
Feb 15, 2024 0
Feb 09, 2024 0
Apr 18, 2024 0
Apr 18, 2024 0
Apr 16, 2024 0
Apr 16, 2024 0
Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Apr 11, 2024 0
Secondo l’ultimo report di Sophos, “It’s Oh...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 18, 2024 0
I ricercatori di Cisco Talos hanno individuato un...Apr 17, 2024 0
“In un contesto di crescente fragilità, gli sforzi di...Apr 17, 2024 0
I mantainer di PuTTY, il client open-source di SSH e...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...