Alert GCSA-20004 - Microsoft Security Update Gennaio 2020

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

******************************************************************

   alert ID: GCSA-20004
       data: 15 gennaio 2020
     titolo: Microsoft Security Update Gennaio 2020

******************************************************************

:: Descrizione del problema

   Microsoft ha rilasciato il security update mensile, questa versione
   risolve 49 vulnerabilita', 8 delle quali sono classificate come
   "critiche".

   La vulnerabilita' piu' grave riguarda la libreria crittografica di Windows,
   Windows CryptoAPI (Crypt32.dll) spoofing vulnerability CVE-2020-0601,
   il bug e' stato scoperto e segnalato dalla National Security Agency.

   Rilevanti anche due vulnerabilita' del genere "BlueKeep"
   nel Remote Desktop Gateway (CVE-2020-0609 e CVE-2020-0610)

   Maggiori dettagli sono disponibili nella segnalazione
   ufficiale alla sezione "Riferimenti".

   Nota: il 14 gennaio 2020 e' terminato il supporto per Windows 7
   https://support.microsoft.com/it-it/help/4057281/windows-7-support-ended-on-january-14-2020


:: Software interessato

   Microsoft Windows
   Microsoft Windows Server
   Internet Explorer
   Microsoft Office, Office Services e Web Apps
   ASP.NET Core
   .NET Core
   .NET Framework
   OneDrive per Android
   Microsoft Dynamics


:: Impatto

   Esecuzione remota di codice arbitrario (RCE)
   Denial of Service (DoS)
   Spoofing
   Bypass delle funzionalita' di sicurezza (SFB)
   Information Disclosure (ID)
   Acquisizione di privilegi piu' elevati (EoP)
   Cross Site Scripting (XSS)


:: Soluzioni

   Per default l'installazione degli aggiornamenti
   avviene in maniera automatica.

   Verificare di aver installato la versione piu' recente
   del Servicing Stack Updates:

   Latest Servicing Stack Updates
   https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV990001

   Windows Update domande frequenti
   https://support.microsoft.com/it-it/help/12373/windows-update-faq

   Gli aggiornamenti sono disponibili anche tramite il catalogo di Microsoft Update
   https://www.catalog.update.microsoft.com/Home.aspx


:: Riferimenti

   Microsoft January 2020 Security Updates - Release Notes
   https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Jan

   Microsoft Security Update Guide
   https://portal.msrc.microsoft.com/en-us/security-guidance

   Microsoft Security update deployment information: January 14, 2020
   https://support.microsoft.com/en-us/help/20200114/security-update-deployment-information-january-14-2020

   CVE-2020-0601 - Windows CryptoAPI Spoofing Vulnerability
   https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0601

   National Security Agency (NSA) - Cybersecurity Advisory
   https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF

   CISA Alert (AA20-014A) Critical Vulnerabilities in Microsoft Windows
   https://www.us-cert.gov/ncas/alerts/aa20-014a

   CERT CC - Windows CryptoAPI fails to properly validate ECC certificate chains
   https://kb.cert.org/vuls/id/849224/

   CERT CC - Windows RD Gateway allows for unauthenticated RCE
   https://kb.cert.org/vuls/id/491944/

   CERT-PA
   https://www.cert-pa.it/notizie/rilascio-aggiornamenti-di-sicurezza-microsoft-e-adobe-gennaio-2020/

   ISC SANS
   https://isc.sans.edu/diary/Microsoft+Patch+Tuesday+for+January+2020/25710

   ZDI
   https://www.thezdi.com/blog/2020/1/14/the-january-2020-security-update-review

   Mitre CVE
   I riferimenti CVE sono disponibili nell'advisory originale.


GARR CERT Security Alert -  subscribe/unsubscribe:
http://www.cert.garr.it/alert/ricevi-gli-alert-di-cert

-----BEGIN PGP SIGNATURE-----

iD8DBQFeHyiiwZxMk2USYEIRAjPyAJ9Zrao4KaKYZoaVgq+PskTMEj1KxwCguMOm
IEfRhQYS/pJaEucIu+DdGGw=
=aFfb
-----END PGP SIGNATURE-----