{"id":208090,"date":"2023-07-24T07:40:29","date_gmt":"2023-07-24T07:40:29","guid":{"rendered":"https:\/\/www.ninjaone.com\/script-hub\/come-ridurre-i-rischi-legati-a-cve-2023-36884-con-powershell\/"},"modified":"2024-03-04T16:06:41","modified_gmt":"2024-03-04T16:06:41","slug":"come-ridurre-i-rischi-legati-a-cve-2023-36884-con-powershell","status":"publish","type":"script_hub","link":"https:\/\/www.ninjaone.com\/it\/script-hub\/come-ridurre-i-rischi-legati-a-cve-2023-36884-con-powershell\/","title":{"rendered":"Microsoft 0-Day senza patch: Come ridurre il rischio legato a CVE-2023-36884 con PowerShell"},"content":{"rendered":"

Gli aggiornamenti del Patch Tuesday di luglio 2023 di Microsoft hanno evidenziato diverse vulnerabilit\u00e0 sfruttate attivamente, tra cui una (o pi\u00f9?) ancora senza una patch risolutiva. Ecco cosa hai bisogno di sapere su\u00a0CVE-2023-36884<\/a>, una vulnerabilit\u00e0 zero-day che gli aggressori stanno sfruttando per eseguire codice da remoto tramite documenti Microsoft Office “appositamente creati”.<\/p>\n

Che cos’\u00e8 CVE-2023-36884?<\/h2>\n

Risposta breve: Microsoft definisce CVE-2023-36884<\/a> come una vulnerabilit\u00e0 che permette di eseguire codice da remoto tramite Office e Windows HTML, con un punteggio CVSS di base pari a 8,3. Risposta pi\u00f9 significativa: Cosa succeder\u00e0? Per il momento, le dichiarazioni della societ\u00e0 sembrano suggerire che Microsoft stia ancora indagando attivamente sulla situazione, e non forniscono molte informazioni al di l\u00e0 di una descrizione sommaria. L’azienda afferma che uno sfruttamento riuscito della vulnerabilit\u00e0 pu\u00f2 consentire a un aggressore di eseguire codice da remoto nell\u2019ambiente IT di chi subisce l’attacco, e per farlo \u00e8 necessario semplicemente ingannare la vittima spingendola ad aprire un documento Microsoft Office appositamente creato. La dichiarazione di Microsoft si apre in modo curioso affermando: “Microsoft sta indagando sulle segnalazioni di una serie\u00a0<\/strong> di vulnerabilit\u00e0 relative all\u2019esecuzione di codice da remoto” (l\u2019enfasi posta sulle parole in grassetto \u00e8 mia), e quanto scoperto fino a ora induce l’ esperto di vulnerabilit\u00e0 Will Dormann a ipotizzare quanto segue<\/a>: “CVE-2023-36884 \u00e8 semplicemente un placeholder per un aggiornamento che riguarder\u00e0 pi\u00f9 vulnerabilit\u00e0 in un singolo CVE, e che potrebbe essere rilasciato in un futuro pi\u00f9 o meno prossimo.” Sebbene la dichiarazione in s\u00e9 manchi di dettagli, rimanda a un post sul blog<\/a> che fa luce sul modo in cui Microsoft ha scoperto la vulnerabilit\u00e0.<\/p>\n

Spionaggio e ransomware – sfruttamento attivo di CVE-2023-36884<\/h2>\n

A giugno, Microsoft ha individuato<\/a> una campagna di phishing lanciata da un criminale informatico che Microsoft identifica con il nome di Storm-0978. La campagna ha preso di mira enti governativi e della difesa in Nord America e in Europa, con esche legate al Congresso mondiale ucraino. Le e-mail inviate nell’ambito della campagna contenevano link a documenti Word che sfruttavano CVE-2023-36884 per installare backdoor. Sebbene questi obiettivi e le attivit\u00e0 successive alla compromissione suggeriscano motivazioni di spionaggio, Microsoft dichiara di aver scoperto che, mentre questa campagna era in corso, Storm-0978 conduceva attacchi ransomware separati, su obiettivi non correlati, utilizzando gli stessi payload iniziali. Secondo Microsoft, l’attivit\u00e0 di ransomware dell’aggressore \u00e8 stata “in gran parte di natura opportunistica e completamente separata dagli obiettivi di spionaggio” AGGIORNAMENTO: Un’ancora pi\u00f9 approfondita analisi tecnica di questa campagna<\/a> \u00e8 disponibile presso BlackBerry.<\/p>\n

\u00c8 disponibile una patch per CVE-2023-36884?<\/h2>\n

Al momento, no. Microsoft ha fatto sapere di stare ancora indagando attivamente su questa vulnerabilit\u00e0 e ha rilasciato la seguente dichiarazione in merito alle azioni che seguiranno: \u201cAdotteremo le misure appropriate per proteggere i nostri clienti. Questo potrebbe significare che renderemo disponibile un aggiornamento della sicurezza attraverso il nostro processo di rilascio mensile o che distribuiremo un aggiornamento di sicurezza al di fuori delle date canoniche, a seconda delle esigenze dei clienti”<\/p>\n

Riduzione del rischio per CVE-2023-36884<\/h2>\n

Secondo Microsoft<\/a>, attualmente le aziende possono proteggersi in tre modi:<\/p>\n

    \n
  1. I clienti che utilizzano Microsoft Defender per Office sono protetti dagli allegati che tentano di sfruttare questa vulnerabilit\u00e0.<\/li>\n
  2. Per come sono strutturati attualmente gli di attacchi, l’applicazione della regola di Attack Surface Reduction (ASR) \u00a0\u201dImpedisci a tutte le applicazioni Office di creare processi figli\u201d<\/a>\u00a0 impedisce lo sfruttamento della vulnerabilit\u00e0.<\/li>\n
  3. Le organizzazioni che non possono usufruire di queste protezioni, potranno aggiungere i seguenti nomi di applicazioni a questa chiave di registro, come valori di tipo REG_DWORD con dati 1.: ComputerHKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftInternet ExplorerMainFeatureControlFEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION<\/li>\n<\/ol>\n