Scoperta una vulnerabilità in Microsoft Surface Pro 3

Scoperta una vulnerabilità in Microsoft Surface Pro 3

Lo scorso 22 settembre Microsoft ha presentato la nuova gamma dei dispositivi Surface con il sistema operativo Windows 11. Ma il vecchio modello del Surface Pro 3 uscito nel 2014 rappresenta, ancora oggi, uno dei tablet più diffusi ed utilizzati da un grande numero di utenti; purtroppo, però, è stata segnalata stesso da Microsoft una nuova vulnerabilità che consentirebbe agli hacker, tramite un attacco informatico, di introdurre dispositivi dannosi all’interno di reti nazionali

La vulnerabilità è stata segnalata all’interno del bollettino di sicurezza CVE-2021-42299 ed è stata soprannominata TPM Carte Blanche e può essere sfruttata in caso di attacchi ad alta complessità; dunque, non sembra rivolta agli utenti consumer.

Un hacker, per poter usare a pieno questo bug, deve necessariamente compromettere le credenziali dell’utente oppure accedere fisicamente al dispositivo di suo interesse. Infatti, secondo quanto riportato da Windows Blog Italia:Questa tecnica richiede l’accesso fisico al dispositivo di una vittima bersaglio, altrimenti un utente malintenzionato avrebbe già dovuto compromettere le credenziali di un utente legittimo. Incoraggiamo i clienti a praticare buone abitudini di sicurezza, compreso il controllo positivo sul proprio dispositivo e la prevenzione dell’accesso fisico non autorizzato alla propria macchina”. 

Anche se Microsoft ha confermato tale falla di sicurezza nei Surface Pro 3, non è esclusa la possibilità che possano essere compromessi anche altri dispositivi non necessariamente facenti parte della gamma surface; infatti, il blog ufficiale di Windows Italia afferma che: “Microsoft ha confermato che Surface Pro 3 è vulnerabile. Tuttavia, è possibile che anche altri dispositivi, inclusi dispositivi non Microsoft che utilizzano un BIOS simile, siano vulnerabili. Surface Pro 4, Surface Book e i dispositivi Surface più recenti non sono vulnerabili”.

Anche se per sfruttare a pieno questa vulnerabilità è necessaria una presenza nelle vicinanze del device, l’ipotesi di Microsoft si estende ben oltre i propri prodotti. Nel momento in cui questa vulnerabilità va ad invalidare anche altri device non Microsoft, l’azienda potrebbe rivedere ed intensificare la sicurezza delle politiche software che monitorano nelle aziende l’utilizzo di chiavette USB non certificate, incrementando l’attività di monitoraggio sulle USB che si collegano al device, tracciando esattamente da quale porta si vuole effettuare il collegamento ed autorizzando solo chiavette USB autenticate. A tal proposito, è utile ricordare che esistono degli appositi software e sistemi che consentono l’utilizzo unico di chiavette USB esclusivamente aziendali e che potrebbero essere maggiormente sfruttati per evitare di incorrere in situazioni spiacevoli difficili da ripristinare.