Patch day da 10 patch e 34 vulnerabilità

Microsoft ha comunicato che il prossimo patch day porterà agli utenti 10 aggiornamenti per un totale di 34 vulnerabilità risolte. Tre le patch critiche, tutte relative a Microsoft Windows ed una in particolare relativa al browser Internet Explorer

Il secondo martedì di Giugno sarà Martedì 8. Con puntualità rispetto al protocollo informativo previsto da Microsoft, il venerdì precedente sono stati diramati i primi dettagli relativi al patch day mensile, agli aggiornamenti previsti, ai software coinvolti ed alla gravità dei problemi che stanno per essere corretti.

Secondo quanto comunicato nel contesto della Microsoft Security Bulletin Advance Notification, Giugno porterà agli utenti Microsoft 10 patch per un totale di 34 vulnerabilità risolte. Su 10 bollettini tre sono di rilevanza «critica» mentre per quelle rimanenti il giudizio è di gravità «importante». Microsoft Windows (Windows 2000, Windows XP, Windows Vista e Windows 7) è coinvolto in sette bollettini, tra i quali i tre di gravità peggiore ed uno dei quali, in particolare, relativo a vulnerabilità emerse nel browser Internet Explorer 8 (gli aggiornamenti del browser sono tradizionalmente cumulativi, dunque è ipotizzabile la risoluzione di più vulnerabilità all’interno del medesimo update). Coinvolta da quattro bollettini «importanti» anche la suite Microsoft Office.

L’aggiornamento sarà disponibile in Italia nel tardo pomeriggio di martedì. L’installazione delle patch potrà essere comodamente effettuata tramite aggiornamento automatico o sfruttando la ricerca di Microsoft Update.

Nelle stesse ore in cui la Microsoft Security Bulletin Advance Notification viene portata online, inoltre, Microsoft ha distribuito altresì un aggiornamento relativo a Silverlight: 6MB di download permettono di risolvere una serie di problemi descritti nell’apposito bollettino (KB982926). L’aggiornamento è espressamente dedicato al miglioramento di performance e stabilità, mentre non vengono segnalati in questo contesto specifici problemi di sicurezza. Con l’ultimo update Silverlight giunge alla versione 4.0.50524.0

hexaae

Vista (SP2): 2 critici e 5 importanti
Win7: 3 critici e 4 importanti
pochi e nella norma per il mantenimento di un OS…
Paguro

Hexaae quelli sono i bollettini, che contengono le patch, le vulnerabilità corrette sono un numero nettamente maggiore, resta il fatto che non esiste sistema esente da bug ma le falle gravi su Windows sono decisamente troppe.
hexaae

Non direi da Vista in poi in casa Windows…
Ti basta anche solo guardare ad esempio su Secunia il numero di falle e il rate mensile del numero di vulnerabilità per i vari OS e fare un confronto. Vista e Win7 (di XP e precedenti non mi interessa nemmeno, sono OS di 10 anni fa e ahimé ancora presenti proprio a livello aziendale per l’indolenza dei professionisti IT Corporate) non escono affatto male, anzi…
Esempio:
Ubuntu 9.4 http://secunia.com/advisories/product/21851/?task=statistics
Vista http://secunia.com/advisories/product/21851/?task=statistics

Insomma, i soliti pregiudizi…
hexaae

Vista: http://secunia.com/advisories/product/13223/?task=statisticshttp://secunia.com/advisories/product/13223/?task=statistics
Paguro

hexaae ma almeno hai capito che cosa ho scritto?

Oltre tutto al giorno d’oggi Windows è l’unico sistema soffrite di falle Extremely critical, nei link che riporti ha postato 2 volte quello relativo a Ubuntu 9.04, dal quale si evince nessuna falla irrisolta è nessuna Extremely critical, mentre per quanto riguarda Vista risultano anche falle non risolte:

http://secunia.com/advisories/product/13223/?task=statistics

Su Win7 la situazione è ancora peggiore, percentuale maggiore sia di falle Extremely critical e percentuale maggiore anche di falla ancora non risolte:

http://secunia.com/advisories/product/27467/?task=statistics
hexaae

…sì ma veramente non specifica se tra le 5 non ancora risolte (su 94) ci sono le ext. critical.
Inoltre ti sfugge solo un piccolissimo particolare: Ubuntu 9.4 da aprile 2009 a oggi ha collezionato 158 Secunia advisories
515 Vulnerabilities (!!), Vista da gennaio 2007 a oggi (un po’ più di tempo direi) 94 Secunia advisories 178 Vulnerabilities…
5 su 94 sono ancora non risolte? Ok, ma non so se sia peggio di 512 vulnerabilità 158 segnalate ad Secunia in soli 15 mesi, benché 0% extremely vs 2% extremely di Vista…
Vista e Win7 sono, fatte le giuste analisi, OS decisamente sicuri e l’OS senza falle di certo non può esistere.
hexaae

515 vulnerabilità / 15 mesi = 34 falle al mese (!), più di 1 al giorno…
Quindi non partiamo sempre per partito preso e pregiudizi sugli OS MS che sarebbero tanto scadenti in fatto di sicurezza rispetto agli altri. Non mi pare che le cose stiano proprio così…
Paguro

Sei tu che ahi tirato in ballo i dati di Secunia, e i dati parlano chiaro a sfavore di Windows, la sicurezza di un prodotto non è data dal numero delle falle, ma dalla loro pericolosità e dal tempo che trascorre tra la scoperta e la risoluzione.
Tornando al tuo discorso sul numero delle falle, Microsoft ha ammesso di non pubblicare tutte, quindi il numero reale delle falle scoperte è nettamente maggiore:

http://business.webnews.it/news/leggi/13045/microsoft-non-dichiara-tutte-le-vulnerabilita
Paguro

I dati di Secunia li hai tirati in ballo tu, non io, e da quei dati si evince che su sistemi Windws ci sono falle ancora non risolte, se tu giudichi la sicurezza di un prodotto dal numero delle falle devi tenere in considerazione che Microsoft ha ammesso di non dichiararle tutte:

http://business.webnews.it/news/leggi/13045/microsoft-non-dichiara-tutte-le-vulnerabilita/

Quindi il numero della falle dei sistemi Windows è decisamente più alto di quello pubblicato.
Piero

>> la sicurezza di un prodotto non è data dal numero delle falle, ma dalla loro pericolosità e dal tempo che trascorre tra la scoperta e la risoluzione.

Non credo proprio sia così semplice.
hexaae

In parte sono d’accordo col tuo discorso ma allora sarai d’accordo anche che è più complesso… e un sistema con 34 vulnerabilità al mese, più di una al giorno, anche se patchata solertemente quasi quotidianamente bigogna saper giudicare nell’atto pratico (= sistemisti che gestiscono anche le applicazioni che vi girano e li configurano e sanno a che rischi “effettivamente” sono esposte le macchine) quale dei due casi sia più “pericoloso”. Va valutato insomma, senza cantare a squarciagola che Win è colabrodo, che non è.

Il discorso delle falle non risolte (ancora. Magari già al prossimo ciclo di update di domani sera, secondo martedì del mese, torna a 0%…): 2%. Non è un dato astronomico. Nel complesso dal 2007 un Win Vista che mostra solo 179 vulnerabilità totali non lo chiamerei insicuro.

Le falle non dichiarate: beh guarda che lì quei dati di secunia non è che indicano solo quello che di ufficiale gli arriva da MS o Canonical, anzi… quindi magari MS ne ha “dichiarate” 130 ma Secunia già ne mostra 179 e non il contrario… ;)

>> la sicurezza di un prodotto non è data dal numero delle falle, ma dalla loro pericolosità e dal tempo che trascorre tra la scoperta e la risoluzione.
Sì, con un sistema costantemente scoperto (1 al giorno), de facto, però non è che ci si senta tanto più tranquilli rispetto a un Windows dove i cicli speciali per falle gravi già diffuse in rete (quelle segnalate internamente hanno un effettivo rischio MOLTO più basso) ci mettono 1 settimana e quindi sei “scoperto” per tale periodo…

Insomma io ti ripeto che la cosa non è tanto semplice da valutare e ci dovresti pensare 2 volte prima di correre subito al tipico pregiudizio Windows = non sicuro rispetto agli altri.

Mi pare tu sia sempre pronto a scattare quando senti qualche falla di Windows, il che fa chiaramente pensare, paguro che tu sia già abbastanza prevenuto, al di là dell’effettivo stato delle cose. Insomma è come chiedere all’oste com’è il vino nel tuo caso… :)
Paguro

Io prevenuto, ma se uso tre piattaforme diverse, Linux,Mac e Windows, più tosto potrei pensarlo io di te, visto che tiri in ballo dei dati, che giocano contro la tua stessa tesi e dopo cerchi di arrampicarti sugli specchi :)
hexaae

La differenza è che io faccio discorsi logici basati su dati e fonti, e non spargo mai sentenze contro questo e quest’altro in maniera prevenuta come invece fa qualcun’altro ;)
hexaae

P.S.
“giocano contro la mia stessa tesi e dopo cerchi di arrampicarti sugli specchi”? Ma forse non hai letto bene, o meglio, leggi e interpreti solo quello che ti fa comodo dal tuo punto di vista non obiettivo ;P