Alert GCSA-10151 - Vulnerabilita' in Microsoft Windows Common Control

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1




******************************************************************

    Alert ID : GCSA-10151
        Data : 14 Ottobre 2010
      Titolo : Vulnerabilita' in Microsoft Windows Common Control Library
(MS10-081)

******************************************************************


:: Descrizione del problema

    E' stata riscontrata una vulnerabilita' in Microsoft
Windows che potrebbe essere sfruttata da un attaccante remoto per
eseguire codice arbitrario o compromettere un sistema vulnerabile. La
vulnerabilita' e' causata da un errore di heap-overflow nella libreria Windows
Common Control "Comctl32.dll", e potrebbe essere sfruttata da un
attaccante remoto per eseguire codice arbitrario inducendo l'utente ad
aprire documenti malevoli appositamente predisposti che utilizzino le
librerie SVG per il rendering di rafici vettoriali, anche tramite
applicazioni di terze parti.


:: Software interessato

    Microsoft Windows XP Service Pack 3
    Microsoft Windows XP Professional x64 Edition Service Pack 2
    Microsoft Windows Server 2003 Service Pack 2
    Microsoft Windows Server 2003 x64 Edition Service Pack 2
    Microsoft Windows Server 2003 SP2 (Itanium)
    Microsoft Windows Vista Service Pack 1
    Microsoft Windows Vista Service Pack 2
    Microsoft Windows Vista x64 Edition Service Pack 1
    Microsoft Windows Vista x64 Edition Service Pack 2
    Microsoft Windows Server 2008 (32-bit)
    Microsoft Windows Server 2008 (32-bit) Service Pack 2
    Microsoft Windows Server 2008 (64x)
    Microsoft Windows Server 2008 (64x) Service Pack 2
    Microsoft Windows Server 2008 (Itanium)
    Microsoft Windows Server 2008 (Itanium) Service Pack 2
    Microsoft Windows 7 (32-bit)
    Microsoft Windows 7 (64x)
    Microsoft Windows Server 2008 R2 (64x)
    Microsoft Windows Server 2008 R2 (Itanium)


:: Impatto

     Esecuzione da remoto di codice arbitrario


:: Soluzioni

    Installare manualmente la patch elencata nel bollettino Microsoft,
    oppure utilizzare uno degli strumenti di aggiornamento come:
    Aggiornamenti Automatici, Windows Update, Microsoft Update,
    Windows Server Update Services.


:: Riferimenti

Microsoft Security Bulletin
   http://www.microsoft.com/technet/security/Bulletin/ms10-081.mspx

VUPEN
   http://www.vupen.com/english/advisories/2010/2628

Secunia
   http://secunia.com/advisories/40217/

Mitre's CVE ID
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2746



-----BEGIN PGP SIGNATURE-----

iQCVAwUBTLcMwvOB+SpikaiRAQI0lAQAmQTqbiOmQFmy113ONxCHWdqn80p3cBeY
sx9EklhXooNHcxIXJE1410TgDS5AtBwU0xy4JdkleUU/dInp0JNc+mNwngFmp+A8
7SMwNUdWi/xtyj6YFhtlitTUPfz/1kw0UNZIbgm0+Ey2kwHJLLHTwJe0EXWvjFVX
znULrKzsCD0=
=42GF
-----END PGP SIGNATURE-----