Una vulnerabilità critica di Windows è tornata a far parlare di sé. CVE-2024-43491 rappresenta un caso anomalo nella storia della sicurezza Microsoft: una patch applicata anni fa è stata di fatto annullata da un bug nel sistema di aggiornamento. Il risultato? Sistemi apparentemente protetti, ma in realtà esposti a falle antiche.
Cosa è successo: il rollback silenzioso delle patch
Microsoft ha comunicato e corretto il problema nel Patch Tuesday di settembre 2024. La vulnerabilità CVE-2024-43491 riguarda Windows 10 versione 1507, la prima release del sistema operativo.
Il meccanismo del problema
Il bug non introduce codice malevolo nuovo. Agisce in modo più subdolo. Un difetto nella gestione dello stack di manutenzione (Servicing Stack) causava il ripristino di componenti opzionali alle versioni RTM originali. RTM significa “Release to Manufacturing”: la versione grezza, senza alcuna patch applicata.
In parole semplici: il sistema aggiornava correttamente alcune parti di Windows. Ma, allo stesso tempo, riportava silenziosamente indietro altri componenti. Le patch di sicurezza applicate negli anni sparivano, senza che l’amministratore se ne accorgesse.
I componenti colpiti
L’impatto riguarda componenti molto diffusi negli ambienti aziendali. Tra i componenti vulnerabili figurano:
- Active Directory Lightweight Directory Services
- Internet Explorer 11
- Windows Fax and Scan
- Windows Media Player
- Work Folders Client
- SMB 1.0/CIFS File Sharing Support
- MultiPoint Connector
- XPS Viewer
Vale la pena sottolineare la presenza di SMB 1.0 in questa lista. Questo protocollo è noto per essere stato sfruttato da attacchi devastanti come WannaCry e NotPetya. Il suo ripristino a una versione non patchata rappresenta un rischio significativo.
CVE-2024-43491: il livello di gravità e i rischi reali
Microsoft ha classificato la vulnerabilità CVE-2024-43491 come critica. Il vettore di attacco consente potenzialmente l’esecuzione di codice remoto senza autenticazione.
Nessuna exploit attiva rilevata, ma il pericolo è concreto
Tuttavia, Microsoft ha dichiarato di non aver rilevato sfruttamento attivo di questa specifica vulnerabilità in natura. Questo è un dato importante. Non significa però che il rischio sia trascurabile.
Il rollback delle patch potrebbe ripristinare vulnerabilità che erano già state sfruttate attivamente in passato. Un sistema che esegue Windows 10 1507 con componenti opzionali attivi potrebbe risultare esposto a exploit storici. Exploit già noti, già documentati e già armati dagli attaccanti.
In questo contesto, anche l’assenza di un attore specifico identificato non deve far abbassare la guardia. Le falle vecchie sono spesso le più pericolose. Esistono strumenti automatizzati pronti a sfruttarle.
Come risolvere il problema: la procedura di patching
Microsoft ha rilasciato le correzioni necessarie. La procedura richiede due passaggi obbligatori e sequenziali.
Passaggio 1: aggiornare lo Servicing Stack
Prima di tutto, è necessario installare l’aggiornamento KB5043936. Questo aggiornamento corregge il Servicing Stack Update (SSU). È il componente che gestisce l’installazione degli aggiornamenti stessi. Senza questo passaggio, il secondo aggiornamento potrebbe non applicarsi correttamente.
Passaggio 2: installare l’aggiornamento di sicurezza
Successivamente, occorre installare l’aggiornamento di sicurezza KB5043083. Solo questa sequenza garantisce la corretta applicazione delle fix. Invertire l’ordine o saltare il primo aggiornamento rende la correzione inefficace.
Di conseguenza, i team IT devono verificare l’ordine di deployment. Chi usa strumenti di patching automatizzato deve controllare che la sequenza venga rispettata.
Indicazioni operative per i team di sicurezza
Parallelamente alla patching, è necessaria una verifica dello stato dei sistemi. I CISO e i responsabili IT dovrebbero eseguire queste azioni immediatamente.
Primo: identificare tutti i sistemi che eseguono Windows 10 versione 1507. Questa versione è destinata a un pubblico limitato, ma è ancora presente in ambienti LTSB (Long-Term Servicing Branch).
Secondo: verificare quali componenti opzionali sono attivi. In particolare, disabilitare SMB 1.0 se non strettamente necessario.
Terzo: applicare le patch nell’ordine corretto. Verificare i log di Windows Update per confermare l’installazione effettiva.
Inoltre, è consigliabile sfruttare questo episodio per un’audit più ampia. La presenza di sistemi non aggiornati o con versioni obsolete di Windows è spesso il vettore d’ingresso preferito dagli attaccanti.
Conclusione
CVE-2024-43491 insegna una lezione importante. Non basta applicare le patch. Bisogna verificare che rimangano applicate. La sicurezza è un processo continuo, non un’azione puntuale.
Fonti:
Fonte: Articolo originale
Casi come CVE-2024-43491 evidenziano quanto sia critico disporre di canali affidabili per la condivisione tempestiva di threat intelligence tra organizzazioni: sapere che una patch è stata silenziosamente annullata può fare la differenza tra un incidente contenuto e una violazione su larga scala. IsacChain permette alle organizzazioni di condividere in modo sicuro e verificato informazioni su vulnerabilità di questo tipo, supportando al contempo la compliance NIS2 in modo automatizzato e tracciando ogni aggiornamento tramite verifica blockchain. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com