Due specifiche vulnerabilità risolte con una sola patch: è questa la consistenza del bollettino di sicurezza diramato da Microsoft in occasione del patch day di Novembre. Microsoft denota l’aggiornamento come «critical» e Secunia lo giudica «highly critical»: la pericolosità delle falle è dunque estrema e si consiglia di conseguenza un aggiornamento sollecito dei sistemi.
La prima falla è insita nel Graphics Rendering Engine ed è attaccabile tramite la creazione di appositi file Windows Metafile (WMF) ed Enhanced Metafile (EMF). La seconda falla apre invece all’esecuzione di codice tramite l’apertura di un apposito file WMF. I file in questione, in quanto immagini, possono essere aperti da svariati software ed è un comportamento a rischio anche la sola apertura di una cartella contenente il file maligno potenzialmente in visualizzazione a seguito di un semplice click. L’apertura di una mail o la visualizzazione di un sito web sono ulteriori potenziali canali di exploit.
Microsoft indica tra i sistemi operativi vulnerabili Windows 2000, Windows XP e Windows Server 2003. Gli altri sistemi operativi del gruppo non risultano essere coinvolti dal problema. Microsoft indica in eEye Digital Security, Venustech AdDLab e Peter Ferrie di Symantec Security Response gli autori delle scoperte delle falle in esame. Per l’aggiornamento è sufficiente seguire la tradizionale procedura offerta dal Microsoft Update, mentre per ulteriori dettagli è a disposizione il bollettino di sicurezza MS05-053.
