Tra le correzioni del Patch Tuesday del 13 agosto ce n’è una che merita la precedenza su tutte. La CVE-2024-38063 è una vulnerabilità nello stack TCP/IP di Windows con gravità 9,8 su 10: un attaccante non autenticato può eseguire codice da remoto inviando ripetutamente pacchetti IPv6 costruiti ad arte. Nessun clic, nessuna credenziale.
Sono coinvolte tutte le versioni supportate di Windows 10, Windows 11 e Windows Server, più alcune versioni più vecchie di Server. IPv6 è attivo per default praticamente ovunque. E il problema sta nel driver del kernel che elabora i pacchetti, prima che il firewall di Windows possa dire la sua: bloccare IPv6 nel firewall locale non serve. Microsoft giudica lo sfruttamento «più probabile», e diversi esperti la definiscono potenzialmente wormable, cioè adatta a un malware che si propaga da solo da un computer all’altro.
Per ora non risultano attacchi né exploit pubblici. Il ricercatore cinese che l’ha scoperta, Xiao Wei, ha scelto di non pubblicare i dettagli tecnici per dare tempo agli amministratori. Ma ogni patch, appena uscita, viene confrontata con la versione precedente proprio per ricavarne un exploit, e non serve la collaborazione di chi ha trovato la falla.
Fin dove arrivano i pacchetti
Per colpire, i pacchetti IPv6 devono raggiungere il computer. Su Internet molti router e firewall perimetrali non inoltrano traffico IPv6 non richiesto verso i dispositivi interni, e questo riduce il rischio per le postazioni di casa e d’ufficio. Le zone più esposte sono altre: le reti locali, dove un attaccante già presente o un computer infetto può colpire gli altri sistemi, e i server con indirizzo IPv6 pubblico.
Installa gli aggiornamenti di agosto su tutte le postazioni e i server Windows, partendo da quelli raggiungibili da Internet. Se non puoi farlo subito e IPv6 non ti serve, Microsoft indica come mitigazione la sua disattivazione sulle interfacce di rete. Provala prima su pochi sistemi, perché alcuni servizi Windows lo usano.
Controlla anche che i firewall perimetrali filtrino il traffico IPv6 in ingresso con la stessa cura dell’IPv4. In molte reti IPv6 è attivo da anni senza che nessuno abbia mai scritto una regola per lui. E i sistemi che non ricevono più aggiornamenti, che questa patch non la vedranno mai, vanno isolati dal resto della rete.
