Martedì patch Microsoft: uno 0 giorni; Win 7 e 8.1 ottengono le ultime patch in assoluto

Martedì patch Microsoft: uno 0 giorni; Win 7 e 8.1 ottengono le ultime patch in assoluto

Timestamp: 10 gennaio 2023 7:22
Nodo di origine: 1893812
by Paul Ducklin

Per quanto ne sappiamo, ci sono un enorme articoli 2874 nell'elenco degli aggiornamenti di Patch Tuesday di Microsoft di questo mese, basato sul download CSV che abbiamo appena preso da Redmond Guida all'aggiornamento della sicurezza pagina web.

(Il sito Web stesso dice 2283, ma l'esportazione CSV conteneva 2875 righe, in cui la prima riga non è in realtà un record di dati ma un elenco dei vari nomi di campo per il resto delle righe nel file.)

Evidentemente in cima alla lista ci sono i nomi in Prodotto colonna delle prime nove voci, relativa a una patch di elevazione dei privilegi (EoP) denominata CVE-2013-21773 per Windows 7, Windows 8.1e WindowsRT 8.1.

Windows 7, come molti ricorderanno, era estremamente popolare ai suoi tempi (in effetti, alcuni lo considerano ancora il miglior Windows di sempre), attirando finalmente anche i fan più accaniti di Windows XP quando il supporto di XP è terminato.

Windows 8.1, che è ricordato più come una sorta di rilascio di "correzione di bug" per Windows 8 non lamentato e abbandonato da tempo che come una vera versione di Windows a sé stante, non ha mai preso piede.

E Windows RT 8.1 era tutto ciò che alla gente non piaceva nella versione normale di Windows 8.1, ma girava su hardware proprietario basato su ARM rigorosamente bloccato, come un iPhone o un iPad, non qualcosa a cui erano abituati gli utenti Windows, né , a giudicare dalla reazione del mercato, cosa che molti erano disposti ad accettare.

In effetti, a volte lo farai read che la relativa impopolarità di Windows 8 è il motivo per cui la successiva major release dopo la 8.1 è stata numerata Windows 10, creando così deliberatamente un senso di separazione tra la vecchia versione e quella nuova.

Altre spiegazioni includono questo Windows 10 doveva essere il nome completo del prodotto, in modo che il 10 faceva parte del nome del nuovo prodotto, piuttosto che essere solo un numero aggiunto al nome per denotare una versione. La successiva apparizione di Windows 11 ha in qualche modo intaccato questa teoria, ma non c'è mai stato un Windows 9.

La fine di due epoche

Versa le tue lacrime ora, perché questo mese vede gli ultimi aggiornamenti di sicurezza per le versioni di Windows 7 e Windows 8.1 della vecchia scuola.

Windows 7 ha ora raggiunto la fine del suo periodo di tre anni di pagamento extra per ottenere ESU (ESU è l'abbreviazione di aggiornamenti di sicurezza estesi) e Windows 8.1 semplicemente non riceve aggiornamenti estesi, apparentemente non importa quanto sei disposto a pagare:

Come promemoria, Windows 8.1 raggiungerà la fine del supporto il 10 gennaio 2023 [2023-01-10], a quel punto l'assistenza tecnica e gli aggiornamenti software non saranno più forniti. […]

Microsoft non offrirà un programma di aggiornamento della sicurezza estesa (ESU) per Windows 8.1. Continuare a usare Windows 8.1 dopo il 10 gennaio 2023 può aumentare l'esposizione di un'organizzazione ai rischi per la sicurezza o influire sulla sua capacità di soddisfare gli obblighi di conformità.

Quindi, è davvero la fine delle ere di Windows 7 e Windows 8.1 e tutti i bug del sistema operativo lasciati su qualsiasi computer che esegue ancora quelle versioni rimarranno lì per sempre.

Ricorda, ovviamente, che nonostante la loro età, entrambe queste piattaforme hanno ricevuto proprio questo mese patch per dozzine di diverse vulnerabilità con numero CVE: 42 CVE nel caso di Windows 7 e 48 CVE nel caso di Windows 8.1.

Anche se i ricercatori di minacce e i criminali informatici contemporanei non sono alla ricerca esplicita di bug nelle vecchie build di Windows, i difetti rilevati per la prima volta dagli aggressori che scavano nell'ultima build di Windows 11 potrebbero rivelarsi ereditati dal codice legacy.

In effetti, i conteggi CVE di 42 e 48 sopra si confrontano con un totale di 90 diversi CVE elencati sul funzionario di Microsoft Note sulla versione di gennaio 2023 pagina, suggerendo vagamente che circa la metà dei bug di oggi (nell'elenco di questo mese, tutti i 90 hanno designatori di data CVE-2023-XXXX) aspettano di essere trovati in Windows da almeno un decennio.

In altre parole, nello stesso modo in cui i bug scoperti nelle vecchie versioni possono ancora influenzare le versioni più recenti e migliori, spesso scoprirai che i "nuovi" bug risalgono a molto tempo fa e possono essere adattati a exploit che funzionano su vecchi Anche le versioni di Windows.

Ironia della sorte, i "nuovi" bug potrebbero in definitiva essere più facili da sfruttare nelle versioni precedenti, a causa delle impostazioni di build del software meno restrittive e delle configurazioni di runtime più liberali che allora erano considerate accettabili.

I laptop più vecchi con meno memoria di oggi erano in genere configurati con versioni a 32 bit di Windows, anche se avevano processori a 64 bit. Alcune tecniche di mitigazione delle minacce, in particolare quelle che comportano la randomizzazione delle posizioni in cui i programmi finiscono in memoria per ridurre la prevedibilità e rendere gli exploit più difficili da eseguire in modo affidabile, sono in genere meno efficaci su Windows a 32 bit, semplicemente perché ci sono meno indirizzi di memoria scegliere da. Come a nascondino, più posti ci sono in cui nascondersi, più tempo generalmente ci vuole per trovarti.

“Sfruttamento rilevato”

Secondo Bleeping Computer, solo due delle vulnerabilità rivelate questo mese sono elencate come in-the-wild, in altre parole conosciuto fuori Microsoft e la comunità di ricerca immediata:

Curiosamente, il bug CVE-2023-21674, che è attivamente utilizzato dagli aggressori, non è nell'elenco delle patch di Windows 7, ma si applica a Windows 8.1.

Il secondo bug, CVE-2023-21549, descritto come pubblicamente noto, si applica sia a Windows 7 che a Windows 8.1.

Come abbiamo detto sopra, i difetti scoperti di recente spesso fanno molta strada.

CVE-2023-21674 si applica da Windows 8.1 alle ultimissime build di Windows 11 2022H2 (H2, nel caso ve lo steste chiedendo, significa "la versione rilasciata nella seconda metà dell'anno").

Ancora più drammaticamente, CVE-2023-21549 si applica direttamente da Windows 7 a Windows 11 2022H2.

Cosa fare con quei vecchi computer?

Se disponi di computer Windows 7 o Windows 8.1 che ritieni ancora utilizzabili e utili, valuta la possibilità di passare a un sistema operativo open source, come una distribuzione Linux, che riceve ancora supporto e aggiornamenti.

Alcune build Linux della comunità sono specializzate nel mantenere le loro distribuzioni piccole e semplici

Anche se potrebbero non avere l'ultima e più ampia raccolta di filtri fotografici, strumenti di editing video, motori di scacchi e sfondi ad alta risoluzione, le distribuzioni minimaliste sono ancora adatte per la navigazione e la posta elettronica, anche su vecchio hardware a 32 bit con piccoli dischi rigidi e poca memoria.

LEGGI IL REPORT SOPHOSLABS SULLE PATCH DI QUESTO MESE

Timestamp:

Di più da Sicurezza nuda