Lo ha ammesso Microsoft stessa: anche se non c’è ancora stato segno di un exploit che possa sfruttare la vulnerabilità CVE-2019-0708, anche detta BlueKeep, non significa che non possa accadere a breve.

Da qui l’invito ad aggiornare i propri sistemi e usufruire della patch che è stata pubblicata durante l’ultimo patch Tuesday, appuntamento mensile in cui vengono pubblicati upload di sicurezza per sistemi operativi e applicazioni.

Ma quale sarebbe il problema?

BlueKeep è una vulnerabilità critica (così definita dai tecnici che l’hanno segnalata ai consumatori) e warmable. Beh, la motivazione del primo aggettivo è data proprio dal secondo: questo tipo di falla si presta all’azione di malware in grado di auto-replicarsi e di propagarsi ad altri pc senza bisogno di autenticazione. Il punto di ingresso più semplice per una qualsiasi minaccia che incorpori un exploit, cioè lo script che sfrutta della presenza di bug in un software per riuscire a superarne le difese e a vincerne le protezioni attive, è Microsoft Remote Desktop. La vulnerabilità non è il Remote Desktop Protocol (RDP) in senso stretto, precisa il blog del produttore, ma riguarda il suo modo di gestire le connessioni.

Proprio su questo fronte si è mosso Microsoft, che con l’aggiornamento di sicurezza ha puntato a correggere il modo in cui Remote Desktop Service regola le richieste di connessione.

Se per il momento non vi è chiaro il rischio a cui l’esistenza di questa falla di sistema espone, lo sarà con questo semplice acronimo: RCE (Remote Code Execution).

Cosa significa? Significa che un eventuale hacker può approfittare della vulnerabilità per eseguire codici arbitrari, quindi installare programmi a proprio piacimento per tracciare l’utente, o ancora creare account senza limitazioni di accesso con conseguente furto di dati. Come se non bastasse, la natura warm della minaccia, porterebbe alla propagazione dell’eventuale virus all’interno dell’intero network, anche senza interazioni tra i pc. È quindi sufficiente un solo device vulnerabile per compromettere un’intera rete. McAfee ha creato un Proof of Concept che mostra come un malintenzionato esterno possa con relativa facilità entrare all’interno del pc da remoto. Nella dimostrazione viene azionata la calcolatrice… con molta più probabilità quella è l’unica applicazione che potrebbe essere aperta dal povero infettato, per fare i conti di quanto gli è stato sottratto.

Microsoft ha segnalato una vulnerabilità che riguarda la gestione delle connessioni da parte di Microsoft Remote Desktop. Battezzata BlueKeep, la falla potrebbe fornire accesso a un malware che contenga un exploit in grado di sfruttarla e bypassare i sistemi di sicurezza del pc e propagarsi nell’intera rete.

Vulnerabilità BlueKeep: quali sono i sistemi più a rischio?

Che la situazione sia critica lo dimostra il fatto che Microsoft abbia proposto la patch anche per sistemi il cui supporto è ormai scaduto, come Windows Server 2003 o Windows XP.

I sistemi più a rischio sono chiaramente quelli più attempati, quelli con un sistema di difese meno efficace. Una mossa consigliata è quindi quella di aggiornarsi il più possibile, superando le versioni con supporto in scadenza a prescindere dal fatto che la patch relativa al proprio sia stata rilasciata o meno.

Per quanto riguarda questi ultimi, Microsoft propone aggiornamenti per:

• Windows Server 2008;
• Windows Server 2008 R2;
• Windows 7;

Le versioni più recenti del sistema operativo non sono interessate. In ogni caso è consigliabile bloccare la porta TCP 3389 per il milione di pc che risultano vulnerabili.

Le ultime versioni di Windows non sono interessate dalla falla BlueKeep. Devono invece guardarsi le spalle tutti i sistemi per i quali è già scaduto il supporto (Windows XP e Windows Server 2003), e quelle il cui supporto è in scadenza (Windows Server 2008, 2008 R2 e Windows 7). A tutti gli interessati in ogni caso è consigliato un aggiornamento del sistema.

Conclusioni

Microsoft ha messo in luce la presenza di una vulnerabilità, chiamata CVE-2019-0708 o più semplicemente BlueKeep, che interessa i sistemi Windows con supporto scaduto o in scadenza. La falla si presta all’ingresso di eventuali malware warmable che incorporino exploit in grado di approfittare della criticità. Questo implica la possibilità che un’intera rete locale di pc venga infettata anche senza che si verifichi interazione tra le parti.

Oltre al rischio di compromettere la totalità di un sistema aziendale, la vulnerabilità consente RCE (Remote Code Execution), ovvero l’esecuzione di un codice arbitrario da parte dell’eventuale hacker. Tradotto dalla lingua del World Wide Web, significa che un malintenzionato potrebbe installare programmi a proprio piacimento sul pc infettato, o creare account senza limiti di accesso.

Tempo di correre ai ripari? Piuttosto tempo di correre ad aggiornarsi!