Anche i sistemi XP e 2000 pienamente aggiornati sono soggetti al denial of service a causa di un bug in RDP, il protocollo che permette l'assistenza remota e l'accesso remoto al desktop. Patch in arrivo ad agosto. Rischio tutto sommato non particolarmente elevato.

A una settimana esatta dal canonico rilascio mensile di patch, Microsoft scopre di avere dimenticato qualcosa: stavolta è una vulnerabilità nel software usato per l'accesso remoto a mettere a rischio di denial of service molti utenti Windows.Il problema risiede nel protocollo RDP (Remote Desktop Services), che permette di collegarsi in remoto al desktop di un Pc che ne abbia abilitato il server. Richieste RDP appositamente create possono portare al malfunzionamento della macchina vulnerabile.

Secunia definisce il bug "moderatamente critico", assegnandogli il terzo dei cinque gradini previsti nella scala del rischio: il bug non permette la presa di controllo remoto, e - soprattutto - i componenti Assistenza Remota e Desktop remoto che si basano su RDP non sono abilitati nelle installazioni standard di molte versioni di Windows.

Microsoft ha ammesso l'errore rilasciando un dettagliato bollettino al riguardo: tuttavia, si tratta di materiale rivolto ai professionisti IT, che potrebbe risultare oscuro per molti utenti privati.

L'azienda di Redmond ha promesso una correzione per la vulnerabilità, e tutto fa presupporre che sarà rilasciata il secondo martedì di agosto, nell'ambito del periodico ciclo di patch previsto da Microsoft: Microsoft ha infatti minimizzato la portata della vulnerabilità, e sottolineato come non sia ancora a conoscenza di nessun attacco basato sul bug e andato a buon fine.

Ecco comunque i rimedi provvisori suggeriti da Microsoft: il primo è il blocco del traffico sulla porta 3389/Tcp utilizzata da RDP, con un firewall; seguono poi la disabilitazione del servizio se non ritenuto necessario (invero un suggerimento più ovvio che prezioso) e - per gli utenti aziendali - l'instradamento del traffico RDP su tunnel VPN, magari controllandolo con policy IPSec. Per gli utenti privati sono i primi due a rivelarsi validi: almeno in attesa di una patch definitiva.