Alert GCSA-21093 - Microsoft MSHTML out-of-band Security Alert

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

alert ID: GCSA-21093
data: 08 settembre 2021
titolo: Microsoft MSHTML out-of-band Security Alert

******************************************************************

:: Descrizione del problema

Microsoft ha pubblicato un avviso di sicurezza non programmato
per mitigare una vulnerabilita' critica.

La vulnerabilita' zero-day (CVE-2021-40444)(CVSS score 8.8) ha impatto
sul componente MSHTML, utilizzato nelle applicazioni Office per eseguire
il rendering dei contenuti Web.
Un aggressore puo' sfruttare questa vulnerabilita' inducendo gli utenti
ad aprire un documento artefatto, contenente un controllo ActiveX dannoso.

Microsoft informa che sono in corso attacchi mirati.

Maggiori informazioni sono disponibili alla sezione "Riferimenti".


:: Software interessato

Microsoft Windows


:: Impatto

Esecuzione remota di codice arbitrario (RCE)


:: Soluzioni

Attualmente non e' disponibile una patch specifica
ma e' possibile applicare un workaround per mitigare l'attacco.
Microsoft consiglia di disabilitare l'installazione di tutti i
controlli ActiveX in Internet Explorer, operazione che richiede
la modifica del registry.

Per impostazione predefinita Microsoft Office apre i documenti
provenienti da Internet in Visualizzazione protetta
https://support.microsoft.com/it-it/topic/informazioni-sulla-visualizzazione-protetta-d6f09ac7-e6b9-4495-8e43-2bbcdbcb6653
o Application Guard per Office,
https://support.microsoft.com/it-it/topic/application-guard-per-office-9e0fb9c2-ffad-43bf-8ba3-78f785fdba46
ed entrambi i prodotti impediscono l'attacco in oggetto.

Microsoft Defender Antivirus e Microsoft Defender for Endpoint forniscono
entrambi il rilevamento e la protezione dalla vulnerabilita' indicata.


:: Riferimenti

Microsoft MSHTML Remote Code Execution Vulnerability
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444

Mitre CVE
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40444

SecurityWeek
https://www.securityweek.com/microsoft-office-zero-day-hit-targeted-attacks

The Hacker News
https://thehackernews.com/2021/09/new-0-day-attack-targeting-windows.html


GARR CERT Security Alert - subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----

iF0EARECAB0WIQTGpdiR5MqstacBGHbBnEyTZRJgQgUCYTh/pAAKCRDBnEyTZRJg
Qr21AJ9Fbw9VsNPv7XCQjfaXdpSF/JZxiQCgrZLEXnFMimkBPj+n9wRriyc/lR4=
=ADrd
-----END PGP SIGNATURE-----