Microsoft Security Bulletin MS04-004 - Critico

  • Articolo

Aggiornamento cumulativo della sicurezza per Internet Explorer (832894)

Pubblicato: 02 febbraio 2004 | Aggiornamento: 12 aprile 2004

Versione: 1.7

Rilasciato: 2 febbraio 2004
Aggiornamento: 12 aprile 2004
Numero di versione: 1.7

Riepilogo

Chi deve leggere questo documento:
Clienti che usano Microsoft® Internet Explorer

Impatto della vulnerabilità:
Esecuzione di codice remoto

Valutazione massima gravità:
Critico

Raccomandazione:
Gli amministratori dei sistemi devono applicare immediatamente l'aggiornamento della sicurezza.

Sostituzione degli aggiornamenti della sicurezza:
Questo aggiornamento sostituisce quello fornito in Microsoft Security Bulletin MS03-048, che è un aggiornamento cumulativo.

Avvertenze:
Alcuni utenti di Internet Explorer 6.0 Service Pack 1 potrebbero ricevere un errore durante il tentativo di accesso a siti Web protetti SSL. Questo errore si presenterà come HTTP 500 (errore interno del server) e si verifica solo quando si accede ai server Web tramite SSL/TLS 3.0 con una configurazione specifica. È disponibile un aggiornamento per questo problema. Vedere l'articolo della Knowledge Base 831167. Questo aggiornamento verrà incluso nelle future Aggiornamenti di sicurezza cumulativa per Internet Explorer 6.0 Service Pack 1. Inoltre, questo aggiornamento della sicurezza invaliderà i nomi utente e le password archiviati nell'archivio protetto di Internet Explorer. Ciò richiederà agli utenti di immettere nuovamente il nome utente e la password quando visitano per la prima volta i siti Web che richiedono l'autenticazione.

Percorsi di download degli aggiornamenti software e della sicurezza testati:

Software interessato:

  • Microsoft Windows NT® Workstation 4.0 Service Pack 6a
  • Microsoft Windows NT Server 4.0 Service Pack 6a
  • Microsoft Windows NT Server 4.0 Terminal Server Edition, Service Pack 6
  • Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4
  • Microsoft Windows XP, Microsoft Windows XP Service Pack 1
  • Microsoft Windows XP a 64 bit Edition, Microsoft Windows XP 64 Bit Edition Service Pack 1
  • Microsoft Windows XP 64 Bit Edition versione 2003
  • Microsoft Windows Server® 2003
  • Microsoft Windows Server 2003, edizione a 64 bit

Componenti di Microsoft Windows e Office testati:

Componenti interessati:

Il software elencato sopra è stato testato per determinare se le versioni sono interessate. Altre versioni non includono più il supporto degli aggiornamenti della sicurezza o potrebbero non essere interessate. Esaminare il sito Web supporto tecnico Microsoft Lifecycleper determinare il ciclo di vita del supporto per il prodotto e la versione.

Informazioni generali

Dettagli tecnici

Microsoft ha originariamente pubblicato questo bollettino il 2 febbraio 2004. Dopo aver rilasciato questo bollettino sulla sicurezza, Microsoft ha ricevuto segnalazioni che dopo l'installazione dell'aggiornamento fornito con questo bollettino, alcuni utenti di Internet Explorer 6.0 Service Pack 1 riscontravano errori durante il tentativo di accesso a siti Web protetti SSL. Questo errore si presenterà come HTTP 500 (errore interno del server) e si verifica solo quando si accede ai server Web tramite SSL/TLS 3.0 con una configurazione specifica. È disponibile un aggiornamento per questo problema. Vedere l'articolo della Knowledge Base 831167. Questo aggiornamento verrà incluso nelle future Aggiornamenti di sicurezza cumulativa per Internet Explorer 6.0 Service Pack 1.

Si tratta di un aggiornamento cumulativo che include la funzionalità di tutti gli aggiornamenti rilasciati in precedenza per Internet Explorer 5.01, Internet Explorer 5.5 e Internet Explorer 6.0. Elimina inoltre le tre vulnerabilità appena individuate seguenti:

  • Vulnerabilità che coinvolge il modello di sicurezza tra domini di Internet Explorer. Il modello di sicurezza tra domini di Internet Explorer mantiene le finestre di domini diversi dalla condivisione delle informazioni. Questa vulnerabilità potrebbe causare l'esecuzione dello script nell'area Computer locale. Per sfruttare questa vulnerabilità, un utente malintenzionato dovrà ospitare un sito Web dannoso che conteneva una pagina Web progettata per sfruttare la vulnerabilità e quindi convincere un utente a visualizzare la pagina Web. L'utente malintenzionato potrebbe anche creare un messaggio di posta elettronica HTML progettato per sfruttare la vulnerabilità e convincere l'utente a visualizzare il messaggio di posta elettronica HTML. Dopo che l'utente ha visitato il sito Web dannoso o ha visualizzato il messaggio di posta elettronica HTML dannoso un utente malintenzionato che ha sfruttato questa vulnerabilità potrebbe accedere alle informazioni da altri siti Web, accedere ai file nel sistema di un utente ed eseguire codice arbitrario nel sistema di un utente. Questo codice viene eseguito nel contesto di sicurezza dell'utente attualmente connesso.
  • Vulnerabilità che comporta l'esecuzione di un'operazione di trascinamento della selezione con puntatori a funzione durante gli eventi DHTML (Dynamic HTML) in Internet Explorer. Questa vulnerabilità potrebbe consentire il salvataggio di un file in un percorso di destinazione nel sistema dell'utente se l'utente ha fatto clic su un collegamento. Nessuna finestra di dialogo richiede che l'utente approvi il download. Per sfruttare questa vulnerabilità, un utente malintenzionato dovrà ospitare un sito Web dannoso che conteneva una pagina Web con un collegamento appositamente creato. L'utente malintenzionato dovrà quindi convincere un utente a fare clic su tale collegamento. L'utente malintenzionato potrebbe anche creare un messaggio di posta elettronica HTML con un collegamento appositamente creato e quindi convincere l'utente a visualizzare il messaggio di posta elettronica HTML e quindi fare clic sul collegamento dannoso. Se l'utente ha fatto clic su questo collegamento, il codice scelto dall'utente non verrà eseguito, ma potrebbe essere salvato nel computer dell'utente in un percorso di destinazione.
  • Vulnerabilità che comporta l'analisi errata degli URL che contengono caratteri speciali. Se combinato con un uso improprio della funzionalità di autenticazione non crittografata con "username:password@" all'inizio di un URL, questa vulnerabilità potrebbe causare una rappresentazione errata dell'URL nella barra degli indirizzi di una finestra di Internet Explorer. Per sfruttare questa vulnerabilità, un utente malintenzionato dovrà ospitare un sito Web dannoso che conteneva una pagina Web con un collegamento appositamente creato. L'utente malintenzionato dovrà quindi convincere un utente a fare clic su tale collegamento. L'utente malintenzionato potrebbe anche creare un messaggio di posta elettronica HTML con un collegamento appositamente creato e quindi convincere l'utente a visualizzare il messaggio di posta elettronica HTML e quindi fare clic sul collegamento dannoso. Se l'utente ha fatto clic su questo collegamento, è possibile aprire una finestra di Internet Explorer con un URL della scelta dell'utente malintenzionato nella barra degli indirizzi, ma con contenuto di un sito Web scelto dall'utente malintenzionato all'interno della finestra. Ad esempio, un utente malintenzionato potrebbe creare un collegamento su cui una volta fatto clic su un utente verrebbe visualizzato https://www.tailspintoys.com nella barra degli indirizzi, ma in realtà conteneva contenuto da un altro sito Web, ad esempio https://www.wingtiptoys.com. (Nota: questi siti Web vengono forniti solo come esempio e entrambi reindirizzano a https://www.microsoft.com.)

Come per gli aggiornamenti cumulativi precedenti di Internet Explorer rilasciati con bollettini MS03-004, MS03-015, MS03-020, MS03-032, MS03-040 e MS03-048, questo aggiornamento cumulativo fa sì che il controllo window.showHelp( ) non funzioni più se non è stato applicato l'aggiornamento della Guida HTML. Se è stato installato il controllo della Guida HTML aggiornato dall'articolo 811630 della Microsoft Knowledge Base, sarà comunque possibile usare la funzionalità della Guida HTML dopo l'applicazione di questo aggiornamento.

Questo aggiornamento cumulativo di Internet Explorer include anche una modifica alla funzionalità di una funzionalità di autenticazione non crittografata in Internet Explorer. L'aggiornamento rimuove il supporto per la gestione di nomi utente e password in HTTP e HTTP con SSL (Secure Sockets Layer) o URL HTTPS in Microsoft Internet Explorer. La sintassi url seguente non è più supportata in Internet Explorer o In Esplora risorse dopo l'installazione dell'aggiornamento software:

http(s)://username:password@server/resource.ext

Per altre informazioni su questa modifica, vedere l'articolo della Microsoft Knowledge Base 834489.

Questo aggiornamento invaliderà anche i nomi utente e le password precedentemente memorizzati nella cache nell'archivio di protezione di Internet Explorer. Dopo l'installazione di questo aggiornamento, agli utenti verrà richiesto di digitare i nomi utente e la password per accedere ai siti autenticati. Se l'utente seleziona la casella di controllo "Memorizza password", continueranno a essere archiviate localmente dopo la visita iniziale a questi siti Web. Altre informazioni sono disponibili nella sezione Domande frequenti di questo documento.

Inoltre, questo aggiornamento non consente la navigazione agli URL "username:password@host.com" per XMLHTTP.

Microsoft sta attualmente creando un aggiornamento a MSXML che risolverà questo problema specificamente per XMLHTTP. Altre informazioni sono disponibili nell'articolo della Knowledge Base 832414.

L'aggiornamento affina anche una modifica apportata in Internet Explorer 6 Service Pack 1, che impedisce alle pagine Web nell'area sicurezza Internet di passare all'area computer locale. Questo argomento è illustrato più avanti nella sezione "Domande frequenti" di questo bollettino.

Fattori di mitigazione:

Esistono tre fattori di mitigazione comuni per la vulnerabilità tra domini e la vulnerabilità dell'operazione di trascinamento della selezione:

  • Per impostazione predefinita, Internet Explorer in Windows Server 2003 viene eseguito in Configurazione sicurezza avanzata. Questa configurazione predefinita di Internet Explorer blocca lo sfruttamento automatico di questo attacco. Se Internet Explorer Enhanced Security Configuration è stato disabilitato, verranno rimosse le protezioni che impediscono l'exploit automatico di queste vulnerabilità.
  • Nello scenario di attacco basato sul Web, l'utente malintenzionato dovrà ospitare un sito Web che contiene una pagina Web usata per sfruttare queste vulnerabilità. Un utente malintenzionato non avrebbe modo di forzare un utente a visitare un sito Web dannoso. L'autore dell'attacco dovrà invece attirarli lì, in genere facendogli clic su un collegamento che li porta al sito dell'utente malintenzionato.
  • Per impostazione predefinita, Outlook Express 6.0, Outlook 2002 e Outlook 2003 aprono messaggi di posta elettronica HTML nell'area Siti con restrizioni. Inoltre, outlook 98 e 2000 aprire messaggi di posta elettronica HTML nell'area Siti con restrizioni se è stato installato l'aggiornamento della sicurezza della posta elettronica di Outlook. Il rischio di attacco dal vettore di posta elettronica HTML può essere notevolmente ridotto se vengono soddisfatte le condizioni seguenti:
    • È stato applicato l'aggiornamento incluso nel bollettino microsoft sulla sicurezza MS03-040 o MS03-048.
    • Si usa Internet Explorer 6 o versione successiva.
    • Si utilizza l'aggiornamento della sicurezza della posta elettronica di Microsoft Outlook o Microsoft Outlook Express 6.0 e versioni successive oppure Microsoft Outlook 2000 SP2 o versione successiva nella configurazione predefinita.
  • Se un utente malintenzionato ha sfruttato queste vulnerabilità, otterrebbe solo gli stessi privilegi dell'utente. Gli utenti i cui account sono configurati per avere pochi privilegi nel sistema sarebbero meno rischiosi degli utenti che operano con privilegi amministrativi.

Valutazione gravità:

Internet Explorer 5.01 SP2, SP3, SP4 Internet Explorer 5.5 SP2 Internet Explorer 6 e Internet Explorer 6 SP1 (tutte le versioni precedenti a Windows Server 2003) Internet Explorer 6 per Windows Server 2003 Internet Explorer 6 per Windows Server 2003 (64 bit)
Vulnerabilità tra domini Critico Critico Critico Moderato Moderato
Vulnerabilità dell'operazione di trascinamento della selezione Importante Importante Importante Moderato Moderato
Canonizzazione url non corretta Importante Importante Importante Importante Importante
Gravità aggregata di tutti i problemi inclusi in questo aggiornamento Critico Critico Critico Importante Importante

La valutazione precedente si basa sui tipi di sistemi interessati dalla vulnerabilità, sui modelli di distribuzione tipici e sull'effetto che l'exploit della vulnerabilità avrebbe su di essi.

Identificatore di vulnerabilità:

Soluzioni alternative

  • Microsoft ha testato le soluzioni alternative seguenti che si applicano a entrambe le vulnerabilità can-2003-1026 del log di viaggio e all'operazionedi trascinamento della selezione CAN-2003-1027 . Queste soluzioni alternative non attenuano la vulnerabilità di canonizzazione url non corretta CAN-2003-1025. Queste soluzioni alternative consentono di bloccare i vettori di attacco noti. Tuttavia, non correggeranno le vulnerabilità sottostanti. Le soluzioni alternative possono ridurre le funzionalità in alcuni casi; in questi casi, la riduzione delle funzionalità è identificata di seguito.

Richiedi conferma prima di eseguire controlli ActiveX e scripting attivo nell'area Internet e nell'area Intranet locale

È possibile proteggersi da queste vulnerabilità modificando le impostazioni per l'area di sicurezza Internet in modo da richiedere prima di eseguire controlli ActiveX. A tale scopo, effettuare i passaggi seguenti:

  1. In Internet Explorer fare clic su Opzioni Internet dal menu Strumenti .
  2. Fare clic sulla scheda Sicurezza.
  3. Fare clic su Internet e quindi su Livello personalizzato.
  4. In Impostazioni, nella sezione Controlli ActiveX e plug-in, in Esegui controlli ActiveX e plug-in, fare clic su Prompt.
  5. Nella sezione Scripting, in Scripting attivo, fare clic su Prompte quindi fare clic su OK.
  6. Fare clic su Intranet locale e quindi su Livello personalizzato.
  7. In Impostazioni, nella sezione Controlli ActiveX e plug-in, in Esegui controlli ActiveX e plug-in, fare clic su Prompt.
  8. Nella sezione Scripting, in Scripting attivo, fare clic su Prompt.
  9. Fare clic su OK due volte per tornare a Internet Explorer.

Impatto della soluzione alternativa:

Esistono effetti collaterali da richiedere prima di eseguire controlli ActiveX. Molti siti Web che si trovano su Internet o in una intranet usano ActiveX per fornire funzionalità aggiuntive. Ad esempio, un sito di e-commerce online o un sito bancario può utilizzare controlli ActiveX per fornire menu, moduli di ordinamento o persino estratti conto. La richiesta prima di eseguire controlli ActiveX è un'impostazione globale che influisce su tutti i siti Internet e Intranet. Quando si abilita questa soluzione alternativa, viene richiesto di frequente. Per ogni richiesta, se si ritiene attendibile il sito che si visita, fare clic su Sì per eseguire i controlli ActiveX. Se non si desidera richiedere tutti questi siti, usare la soluzione alternativa "Limitare i siti Web solo ai siti Web attendibili".

Limitare i siti Web solo ai siti Web attendibili

Dopo aver impostato Internet Explorer per richiedere una richiesta prima di eseguire ActiveX nell'area Internet e nell'area Intranet locale, è possibile aggiungere siti attendibili all'area Siti attendibili di Internet Explorer. Ciò consentirà di continuare a usare siti Web attendibili esattamente come si fa oggi, contribuendo al contempo a proteggere l'utente da questo attacco su siti non attendibili. Microsoft consiglia di aggiungere solo siti attendibili all'area Siti attendibili.

A tale scopo, effettuare i passaggi seguenti:

  1. In Internet Explorer fare clic su Strumenti, fare clic su Opzioni Internet, quindi fare clic sulla scheda Sicurezza.

  2. Nella casella Selezionare un'area contenuto Web per specificare le impostazioni di sicurezza correnti fare clic su Siti attendibili e quindi su Siti.

  3. Se si desidera aggiungere siti che non richiedono un canale crittografato, fare clic per deselezionare la casella di controllo Richiedi verifica server (https:) per tutti i siti dell'area .

  4. Nella casella Aggiungi sito Web alla zona digitare l'URL di un sito attendibile e quindi fare clic su Aggiungi.

  5. Ripetere questi passaggi per ogni sito da aggiungere alla zona.

  6. Fare clic su OK due volte per accettare le modifiche e tornare a Internet Explorer.

    Aggiungere eventuali siti attendibili per non eseguire azioni dannose sul computer. Uno in particolare che si potrebbe voler aggiungere è "*.windowsupdate.microsoft.com" (senza virgolette). Si tratta del sito che ospiterà l'aggiornamento e richiede l'uso di un controllo ActiveX per installare l'aggiornamento.

Impatto della soluzione alternativa:

Per i siti che non sono stati configurati per trovarsi nell'area Siti attendibili, la loro funzionalità sarà compromessa se richiedono l'uso di controlli ActiveX per funzionare correttamente. L'aggiunta di siti all'area Siti attendibili consentirà di scaricare il controllo ActiveX necessario per funzionare correttamente. Tuttavia, è consigliabile aggiungere solo siti Web considerati attendibili all'area Siti attendibili.

Installare Outlook Email Security Update se si usa Outlook 2000 SP1 o versioni precedenti

Per impostazione predefinita, l'aggiornamento della sicurezza della posta elettronica di Outlook fa sì che Outlook 98 e 2000 apra messaggi di posta elettronica HTML nell'area Siti con restrizioni. Per impostazione predefinita, Outlook Express 6.0, Outlook 2002 e Outlook 2003 aprono messaggi di posta elettronica HTML nell'area Siti con restrizioni. I clienti che usano uno di questi prodotti sono a rischio ridotto da un attacco inviato tramite posta elettronica che tenta di sfruttare questa vulnerabilità, a meno che l'utente non faccia clic su un collegamento dannoso nel messaggio di posta elettronica.

Se si utilizza Outlook 2002 o Outlook Express 6.0 SP1 o versione successiva, leggere i messaggi di posta elettronica in formato testo normale per proteggersi dal vettore di attacco di posta elettronica HTML

Gli utenti di Microsoft Outlook 2002 che hanno applicato Service Pack 1 o versione successiva e gli utenti di Outlook Express 6.0 che hanno applicato Service Pack 1 o versione successiva possono abilitare una funzionalità che consentirà loro di visualizzare tutti i messaggi di posta elettronica non firmati digitalmente o i messaggi di posta elettronica non crittografati solo in testo normale.

I messaggi di posta elettronica firmati digitalmente e i messaggi di posta elettronica crittografati non sono interessati dall'impostazione e possono essere letti nei formati originali. Le informazioni su come abilitare questa impostazione in Outlook 2002 sono disponibili nell'articolo della Knowledge Base seguente:

https:

Le informazioni su come abilitare questa impostazione in Outlook Express 6.0 sono disponibili nell'articolo della Knowledge Base seguente:

</https:>https:

Impatto della soluzione alternativa:

I messaggi di posta elettronica visualizzati in formato testo normale non possono contenere immagini, tipi di carattere specializzati, animazioni o altri contenuti avanzati. Inoltre:

  • Le modifiche vengono applicate al riquadro di anteprima e per aprire i messaggi.
  • Le immagini diventano allegati per evitare la perdita di contenuto del messaggio.
  • Poiché il messaggio è ancora in formato RTF o in formato HTML nell'archivio, il modello a oggetti (soluzioni di codice personalizzato) potrebbe comportarsi in modo imprevisto.

Le soluzioni alternative e altre mitigazioni per la vulnerabilità di canonizzazione url non corretta CAN-2003-1025 sono disponibili nell'articolo della Knowledge Base 833786 : "Passaggi che è possibile eseguire per identificare e proteggere se stessi da siti Web ingannevoli (spoofed) e collegamenti ipertestuali dannosi". Microsoft ha inoltre fornito consigli per gli utenti su come evitare di essere ingannati da siti Web di spoofing nel sito Web di Microsoft Security.

Domande frequenti

Perché si ricevono errori quando si tenta di accedere a determinati siti Web protetti ssl?
Dopo aver installato la versione di Internet Explorer 6.0 SP1 di questo aggiornamento, potrebbero verificarsi errori intermittenti di richieste POST ai siti protetti SSL. Ciò può causare la ricezione di http 500 (errore interno del server) da parte di alcuni utenti durante il tentativo di accesso a determinati siti Web. Microsoft è a conoscenza di questo problema e ha rilasciato un aggiornamento. Le informazioni su come ottenere questo aggiornamento sono disponibili nell'articolo della Knowledge Base 831167. Questo aggiornamento verrà incluso nel futuro Aggiornamenti di sicurezza cumulativa per Internet Explorer.

È necessario installare l'aggiornamento nell'articolo della Knowledge Base 831167 per essere protetto dagli indirizzi delle vulnerabilità in questo aggiornamento della sicurezza (MS04-004)?
No. Gli utenti che non riscontrano gli errori descritti in precedenza non necessitano dell'aggiornamento a cui si fa riferimento nell'articolo della Knowledge Base 831167. Microsoft consiglia che solo gli utenti interessati da questo particolare problema installino l'aggiornamento nell'articolo della Knowledge Base 831167. Il futuro Aggiornamenti di sicurezza cumulativa per Internet Explorer 6.01 Service Pack 1 conterrà questo aggiornamento.

Esistono soluzioni alternative sul lato server che potrebbero contribuire a eliminare questi errori?
Sì. Se non è possibile applicare l'aggiornamento descritto nella sezione Risoluzione, una delle azioni sul lato server seguenti potrebbe risolvere il problema:

  • Aumentare l'intervallo di timeout keep-alive HTTP nel server Web o nel server proxy. Non esiste alcuna impostazione in IIS per controllare il timeout keep-alive oltre il valore KeepAliveTime del Registro di sistema di Windows, ma alcuni server Web e server proxy possono consentire di specificare un'ora di scadenza della connessione. Se il server Web o il server proxy consente di modificare questo valore, aumentare l'intervallo di timeout keep-alive per risolvere il problema. Per informazioni sul nome e il valore dell'impostazione appropriati, vedere la documentazione del server Web. Per altre informazioni sui parametri KeepAliveInterval e KeepAliveTime, fare clic sui numeri di articolo seguenti per visualizzare gli articoli della Microsoft Knowledge Base:

    314053 parametri di configurazione TCP/IP e NBT per Windows XP

    120642 parametri di configurazione TCP/IP e NBT per Windows 2000 o Windows NT

  • Disabilitare le connessioni HTTP "keep alive" nel server. Per altre informazioni, fare clic sul numero di articolo seguente per visualizzare l'articolo nella Microsoft Knowledge Base:

    238210 Intestazione Keep-Alive HTTP inviata ogni volta che è abilitato il buffering ASP

Perché viene richiesto di immettere nuovamente il nome utente e la password nei siti Web in cui è stato chiesto a Internet Explorer di ricordare la password?
Questo aggiornamento invaliderà le credenziali archiviate in precedenza in Internet Explorer nel sistema locale. Ciò è dovuto alle modifiche apportate all'autenticazione incluse in questo aggiornamento. Di conseguenza, agli utenti verrà chiesto di immettere nuovamente il nome utente e la password per i siti in cui si è scelto di fare in modo che Internet Explore ricordi tali informazioni. Dopo aver digitato il nome utente e la password e dopo aver selezionato la casella di controllo "Memorizza la mia password", queste informazioni continueranno a essere archiviate in locale. Per altre informazioni su come Internet Explorer archivia nomi utente e password, vedere l'articolo seguente su MSDN.

Perché l'aggiornamento di Internet Explorer 5.5 SP2 è disponibile per Windows 2000 Service Pack 2, Service Pack 3 e Service Pack 4, nonché Windows 98, Windows 98 Second Edition e Windows NT 4.0 Service Pack 6a?
Internet Explorer 5.5 SP2 è attualmente supportato solo in Windows Millennium Edition (Windows Me). Tuttavia, poiché le vulnerabilità risolte in questo bollettino sono state segnalate pubblicamente prima del 31 dicembre 2003, questa versione dell'aggiornamento sarà supportata in tutte le piattaforme elencate in precedenza. Per altre informazioni sul supporto per Internet Explorer 5.5 SP2, vedere la pagina del ciclo di vita del prodotto Microsoft seguente.

Perché l'aggiornamento è disponibile per Windows 98, Windows 98 Second Edition e Windows Millennium Edition (Windows Me)?
Gli aggiornamenti della sicurezza per queste piattaforme sarebbero in genere disponibili tramite canali di supporto assistito, tuttavia, poiché i problemi risolti in questo bollettino sono stati segnalati pubblicamente prima di questo annuncio , la versione di Internet Explorer 6 Service Pack 1 di questa patch sarà supportata in tali sistemi operativi per questa versione. Per altre informazioni sulle opzioni di supporto per queste piattaforme, vedere questo annuncio e il sito del ciclo di vita supporto tecnico Microsoft.

Quali vulnerabilità vengono eliminate da questo aggiornamento?
Si tratta di un aggiornamento cumulativo che incorpora la funzionalità di tutti gli aggiornamenti rilasciati in precedenza per Internet Explorer. Inoltre, questo aggiornamento elimina le vulnerabilità appena segnalate seguenti:

  • Vulnerabilità che potrebbe consentire a un utente malintenzionato di causare l'esecuzione di codice arbitrario nel sistema dell'utente.
  • Vulnerabilità che potrebbe consentire a un utente malintenzionato di salvare codice arbitrario nel sistema dell'utente.
  • Vulnerabilità che potrebbe consentire a un utente malintenzionato di rappresentare erroneamente la posizione di una pagina Web nella barra degli indirizzi di una finestra di Internet Explorer.

Quali sistemi sono principalmente a rischio dalla vulnerabilità?
Qualsiasi sistema in cui è installato Internet Explorer è a rischio di questa vulnerabilità e Microsoft consiglia di installare questo aggiornamento immediatamente in tutti i sistemi. Tuttavia, queste vulnerabilità richiedono che un utente sia connesso e che usi Internet Explorer per qualsiasi azione dannosa. Pertanto, tutti i sistemi in cui Internet Explorer viene usato attivamente (ad esempio le workstation dell'utente) sono al massimo rischio da queste vulnerabilità. I sistemi in cui Internet Explorer non viene usato attivamente (ad esempio la maggior parte dei sistemi server) hanno un rischio ridotto.

Questo aggiornamento della sicurezza contiene altre modifiche alle funzionalità in Internet Explorer?
Sì. Questo aggiornamento cumulativo di Internet Explorer include anche una modifica alla funzionalità di una funzionalità di autenticazione non crittografata in Internet Explorer. L'aggiornamento rimuove il supporto per la gestione di nomi utente e password in HTTP e HTTP con SSL (Secure Sockets Layer) o URL HTTPS in Microsoft Internet Explorer. La sintassi url seguente non è più supportata in Internet Explorer o In Esplora risorse dopo l'installazione dell'aggiornamento software: http(s)://username:password@server/resource.ext Per ulteriori informazioni su questa modifica, vedere la sezione Domande frequenti per questo problema specifico in questo bollettino o nell'articolo della Microsoft Knowledge Base 834489. Inoltre, questo aggiornamento non consente la navigazione agli URL "username:password@host.com" per XMLHTTP. Microsoft sta attualmente creando un aggiornamento a MSXML che risolverà questo problema specificamente per XMLHTTP. Altre informazioni sono disponibili nell'articolo della Knowledge Base 832414.

L'aggiornamento contiene altre modifiche alla sicurezza?
L'aggiornamento affina anche una modifica apportata in Internet Explorer 6 Service Pack 1, che impedisce alle pagine Web nell'area Internet di passare all'area Computer locale. Questa modifica è stata introdotta per attenuare gli effetti delle potenziali vulnerabilità tra domini. Le modifiche introdotte in questo aggiornamento sono ulteriori miglioramenti delle restrizioni di Internet Explorer 6 Service Pack 1.

Internet Explorer è in esecuzione in Windows Server 2003. Questo consente di attenuare alcune di queste vulnerabilità?
Sì. Per impostazione predefinita, Internet Explorer in Windows Server 2003 viene eseguito in una modalità con restrizioni nota come Configurazione sicurezza avanzata che attenua le vulnerabilità CAN-2003-1026 e Drag and Drop OperationCAN-2003-1027 . La configurazione della sicurezza avanzata in Windows Server 2003 non riduce la vulnerabilità di canonizzazione url non corretta CAN-2003-1025.

Che cos'è La configurazione di sicurezza avanzata di Internet Explorer?
Internet Explorer Enhanced Security Configuration è un gruppo di impostazioni preconfigurate di Internet Explorer che riducono la probabilità che un utente o un amministratore scarichi e esegua contenuto Web dannoso in un server. Internet Explorer Enhanced Security Configuration riduce questo rischio modificando numerose impostazioni relative alla sicurezza, incluse le impostazioni nella scheda Sicurezza e Avanzate della finestra di dialogo Opzioni Internet. Alcune delle modifiche importanti includono:

  • Il livello di sicurezza per l'area Internet è impostato su Alto. Questa impostazione disabilita script, controlli ActiveX, Microsoft Java Virtual Machine (MSJVM), contenuto HTML e download di file.
  • Il rilevamento automatico dei siti Intranet è disabilitato. Questa impostazione assegna tutti i siti Web Intranet e tutti i percorsi UNC (Universal Naming Convention) non elencati in modo esplicito nell'area Intranet locale all'area Internet.
  • L'installazione su richiesta e le estensioni del browser non Microsoft sono disabilitate. Questa impostazione impedisce l'installazione automatica dei componenti delle pagine Web e impedisce l'esecuzione delle estensioni non Microsoft.
  • Il contenuto multimediale è disabilitato. Questa impostazione impedisce l'esecuzione di musica, animazioni e clip video.

La disabilitazione della configurazione di sicurezza avanzata di Internet Explorer comporta la rimozione delle protezioni messe in atto per evitare che questa vulnerabilità venga sfruttata. Per altre informazioni sulla configurazione della sicurezza avanzata di Internet Explorer, vedere la Guida alla gestione della configurazione della sicurezza avanzata di Internet Explorer. A tale scopo, visitare il seguente sito Web Microsoft: https://www.microsoft.com/download/details.aspx?FamilyID=d41b036c-e2e1-4960-99bb-9757f7e9e31b& DisplayLang;=en

C'è una configurazione di Windows Server 2003 che probabilmente ha la configurazione della sicurezza avanzata di Internet Explorer disabilitata?
Sì. I sistemi Amministrazione istrators che hanno distribuito Windows Server 2003 come Terminal Server probabilmente disabiliterebbero la configurazione sicurezza avanzata di Internet Explorer per consentire agli utenti del Server Terminal di usare Internet Explorer in modalità senza restrizioni.

CAN-2003-1026: Vulnerabilità del log di viaggio tra domini potrebbe consentire l'esecuzione di codice remoto

Qual è l'ambito di questa vulnerabilità?
Questa vulnerabilità potrebbe consentire a un operatore del sito Web dannoso di accedere alle informazioni in un altro dominio Internet o Intranet o nel sistema locale dell'utente inserendo codice appositamente creato quando il browser analizza URL script formattati in modo speciale dal log di viaggio. Ciò potrebbe anche consentire a un utente malintenzionato di eseguire un file eseguibile di propria scelta nel sistema dell'utente.

Che cosa causa la vulnerabilità?
Il processo usato per convalidare gli URL di script nel log di viaggio di Internet Explorer causa questa vulnerabilità.

Che cos'è il registro viaggi di Internet Explorer?
Il log di viaggio di Internet Explorer è un'interfaccia che gestisce uno stack di navigazione per il controllo WebBrowser . Questo stack viene usato da Internet Explorer per mantenere un elenco dei siti visitati di recente. Ad esempio, la scheda Cronologia in Internet Explorer si basa sulle informazioni del log di viaggio. Per informazioni dettagliate sull'interfaccia del log di viaggio e su come viene usata dal controllo WebBrowser , vedere MSDN.

Qual è il modello di sicurezza tra domini implementato da Internet Explorer?
Una delle principali funzioni di sicurezza di un browser consiste nel garantire che le finestre del browser sotto il controllo di siti Web diversi non possano interferire tra loro o accedere tra loro i dati, consentendo allo stesso tempo alle finestre dello stesso sito di interagire tra loro. Per distinguere le finestre del browser cooperativo e non cooperativo, è stato creato il concetto di "dominio". Un dominio è un limite di sicurezza: tutte le finestre aperte all'interno dello stesso dominio possono interagire tra loro, ma le finestre di domini diversi non possono. Il modello di sicurezza tra domini fa parte dell'architettura di sicurezza che impedisce alle finestre da domini diversi di interferire tra loro. L'esempio più semplice di un dominio è associato ai siti Web. Se si visita https://www.microsoft.come si apre una finestra a https://www.microsoft.com/security, le due finestre possono interagire tra loro perché entrambi i siti appartengono allo stesso dominio, https://www.microsoft.com. Tuttavia, se è stato https://www.microsoft.comvisitato e ha aperto una finestra in un sito Web diverso, il modello di sicurezza tra domini proteggerà le due finestre l'una dall'altra. Il concetto va ancora oltre. Anche il file system nel computer locale è un dominio. Ad esempio, https://www.microsoft.com potrebbe aprire una finestra e visualizzare un file sul disco rigido. Tuttavia, poiché il file system locale si trova in un dominio diverso dal sito Web, il modello di sicurezza tra domini deve impedire al sito Web di leggere il file visualizzato. Il modello di sicurezza tra domini di Internet Explorer può essere configurato usando le impostazioni dell'area di sicurezza in Internet Explorer.

Che cosa sono le aree di sicurezza di Internet Explorer?
Le aree di sicurezza di Internet Explorer sono un sistema che divide il contenuto online in categorie o zone in base alla sua attendibilità. È possibile assegnare domini Web specifici a una zona, a seconda della quantità di attendibilità inserita nel contenuto di ogni dominio. L'area limita quindi le funzionalità del contenuto Web, in base ai criteri dell'area. Per impostazione predefinita, la maggior parte dei domini Internet viene considerata come parte dell'area Internet, con criteri predefiniti che impediscono agli script e ad altro codice attivo di accedere alle risorse nel sistema locale.

Qual è il problema relativo al modo in cui Internet Explorer calcola la sicurezza tra domini?
Internet Explorer valuta la sicurezza quando una pagina Web richiede l'accesso alle risorse in un'altra area di sicurezza. Tuttavia, si verifica una vulnerabilità nel processo usato per calcolare la sicurezza quando gli URL script formattati appositamente vengono analizzati dal log di viaggio. Di conseguenza, un utente malintenzionato può ignorare i controlli di sicurezza.

Cosa potrebbe fare questa vulnerabilità per consentire a un utente malintenzionato di eseguire?
Un utente malintenzionato potrebbe usare questa vulnerabilità per creare una pagina Web che potrebbe consentire all'utente malintenzionato di accedere ai dati tra domini. Ciò può includere l'accesso alle informazioni da altri siti Web, dai file locali nel sistema o dall'esecuzione di file eseguibili già esistenti nel file system locale. Ciò può includere anche l'esecuzione di file eseguibili scelti dall'utente malintenzionato nel file system locale dell'utente.

In che modo un utente malintenzionato potrebbe sfruttare questa vulnerabilità?
Un utente malintenzionato potrebbe sfruttare questa vulnerabilità creando una pagina Web dannosa o un messaggio di posta elettronica HTML e quindi invogliando l'utente a visitare questa pagina o a visualizzare il messaggio di posta elettronica HTML. Quando l'utente ha visitato la pagina o ha visualizzato il messaggio di posta elettronica, l'utente malintenzionato potrebbe accedere alle informazioni da altri siti Web, file locali nel sistema o causare l'esecuzione dello script nel contesto di sicurezza dell'area computer locale.

Cosa fa l'aggiornamento?
L'aggiornamento risolve la vulnerabilità assicurandosi che vengano eseguiti controlli di sicurezza tra domini ogni volta che gli URL di script vengono analizzati dal log di viaggio.

CAN-2003-1027: Vulnerabilità dell'operazione di trascinamento e rilascio del puntatore funzione potrebbe consentire il salvataggio di codice arbitrario nel sistema dell'utente

Qual è l'ambito della vulnerabilità?
Questa vulnerabilità comporta l'uso di un evento di trascinamento della selezione in Internet Explorer con puntatori a funzione e potrebbe comportare il salvataggio di un file nel sistema dell'utente quando l'utente ha fatto clic su un collegamento (l'utente non riceve una finestra di dialogo che richiede di approvare il download). Per sfruttare questa vulnerabilità, un utente malintenzionato dovrà ospitare un sito Web dannoso o creare un messaggio di posta elettronica HTML contenente un collegamento progettato per sfruttare questa particolare vulnerabilità e quindi convincere un utente a visitare tale sito. Se l'utente ha visitato la pagina o ha visualizzato il messaggio di posta elettronica e se l'utente ha fatto clic sul collegamento dannoso, il codice della scelta dell'utente malintenzionato potrebbe essere salvato in una posizione di destinazione nel computer dell'utente.

Che cosa causa la vulnerabilità?
Il processo in base al quale la tecnologia di trascinamento della selezione convalida determinati eventi DHTML (Dynamic HTML) causa questa vulnerabilità. Di conseguenza, è possibile scaricare un file nel sistema dell'utente dopo che l'utente fa clic su un collegamento.

Che cosa sono gli eventi DHTML?
Gli eventi DHTML sono azioni speciali fornite dal modello a oggetti DHTML. Questi eventi possono essere usati nel codice script per aggiungere contenuto dinamico a un sito Web. Per altre informazioni sugli eventi DHTML, visitare MSDN.

Cosa può fare un utente malintenzionato che usa la vulnerabilità?
Un utente malintenzionato che ha sfruttato correttamente questa vulnerabilità potrebbe salvare il codice scelto nel file system locale dell'utente. Anche se questo codice non può essere eseguito direttamente tramite questa vulnerabilità, il sistema operativo potrebbe aprire il file se viene eliminato in una posizione sensibile oppure un utente può fare clic sul file inavvertitamente, causando l'esecuzione del codice dell'utente malintenzionato.

In che modo un utente malintenzionato potrebbe sfruttare questa vulnerabilità?
Per sfruttare questa vulnerabilità, un utente malintenzionato dovrà ospitare un sito Web dannoso che conteneva una pagina Web o un messaggio di posta elettronica HTML con un collegamento progettato per sfruttare questa particolare vulnerabilità e quindi convincere un utente a visitare tale sito. Se l'utente ha fatto clic sul collegamento dannoso, qualsiasi codice scelto dall'utente malintenzionato potrebbe essere salvato nel computer dell'utente in una posizione di destinazione.

Quali sistemi sono principalmente a rischio dalla vulnerabilità?
Qualsiasi sistema in cui è installato Internet Explorer è a rischio di questa vulnerabilità e questo aggiornamento deve essere installato immediatamente in tutti i sistemi. Tuttavia, questa vulnerabilità richiede che un utente sia connesso e che usi Internet Explorer per qualsiasi azione dannosa. Pertanto, tutti i sistemi in cui Internet Explorer viene usato attivamente (ad esempio le workstation dell'utente) sono al massimo rischio da questa vulnerabilità. I sistemi in cui Internet Explorer non viene usato attivamente (ad esempio la maggior parte dei sistemi server) sono un rischio ridotto.

Cosa fa l'aggiornamento?
Questo aggiornamento corregge questa vulnerabilità valutando correttamente le operazioni di trascinamento della selezione tramite puntatori a funzione durante gli eventi DHTML.

CAN-2003-1025: vulnerabilità di canonizzazione url non corretta potrebbe consentire agli utenti malintenzionati di spoofare siti Web

Qual è l'ambito della vulnerabilità?
Esiste una vulnerabilità che interessa la barra degli indirizzi usata da Internet Explorer per visualizzare il sito Web attualmente visitato. Questa vulnerabilità potrebbe causare un URL non corretto elencato nella barra degli indirizzi che non è la pagina Web effettiva visualizzata da Internet Explorer. Ad esempio, un utente malintenzionato potrebbe creare un collegamento su cui una volta fatto clic su un utente verrebbe visualizzato https://www.tailspintoys.com nella barra degli indirizzi, ma in realtà conteneva contenuto da un altro sito Web, ad esempio https://www.wingtiptoys.com. (Nota: questi siti Web vengono forniti solo come esempio e entrambi reindirizzano a https://www.microsoft.com.)

Che cosa causa la vulnerabilità?
Questa vulnerabilità è causata da un errore di canonizzazione che si verifica quando Internet Explorer analizza caratteri speciali in un URL HTTP.

Che cos'è un URL HTTP?
Un URL HTTP è un localizzatore di risorse uniforme usato per designare un indirizzo a una risorsa raggiungibile tramite il protocollo HTTP. Mentre la sintassi generica per un URI è definita in RFC 2396 - Uniform Resource Identifiers (URI): sintassi generica, la sintassi specifica per un URL HTTP è definita in RFC 2616 - Hypertext Transfer Protocol -- HTTP/1.1:

http_URL = "http:" "//" host [ ":" port ] [ abs_path [ "?" query ]]

Cosa può fare un utente malintenzionato che usa la vulnerabilità?
Un utente malintenzionato potrebbe usare questa vulnerabilità per creare una pagina Web che visualizzerebbe un URL degli utenti malintenzionati che scelgono nella barra degli indirizzi, visualizzando un sito Web diverso nella finestra del browser. Un utente malintenzionato potrebbe usare questa vulnerabilità per creare una pagina dannosa che esegue lo spoofing di un sito legittimo. Ad esempio, un utente malintenzionato potrebbe creare una pagina Web simile al sito di posta elettronica online di un utente. Sebbene questa pagina Web sia ospitata in un sito Web dannoso, un utente malintenzionato potrebbe usare questa vulnerabilità per visualizzare un URL di ricerca legittimo nella barra degli indirizzi. Un utente potrebbe visualizzare questo URL e fornire erroneamente informazioni riservate al sito dell'utente malintenzionato.

In che modo un utente malintenzionato potrebbe sfruttare questa vulnerabilità?
Per sfruttare una di questa vulnerabilità, un utente malintenzionato dovrà ospitare un sito Web dannoso che contiene una pagina Web con un collegamento appositamente creato. L'utente malintenzionato dovrà quindi convincere un utente a fare clic su tale collegamento. L'utente malintenzionato potrebbe anche creare un messaggio di posta elettronica HTML con un collegamento appositamente creato e quindi convincere l'utente a visualizzare il messaggio di posta elettronica HTML e quindi fare clic sul collegamento dannoso. Se l'utente ha fatto clic su questo collegamento, è possibile aprire una finestra di Internet Explorer con un URL HTTP della scelta dell'utente malintenzionato nella barra degli indirizzi, ma con contenuto di un sito Web a scelta dell'utente malintenzionato.

Cosa fa l'aggiornamento?
L'aggiornamento corregge la vulnerabilità assicurandosi che Internet Explorer analizzi correttamente i caratteri speciali negli URL per assicurarsi che l'indirizzo corretto sia rappresentato nella barra degli indirizzi. Questo aggiornamento rende inoltre più conforme la gestione degli URL HTTP di Internet Explorer con RFC 2616Hypertext Transfer Protocol - HTTP/1.1 rimuovendo la possibilità di eseguire l'autenticazione usando un formato "username:password@". Questa modifica al comportamento predefinito di Internet Explorer viene illustrata più avanti nell'articolo della Knowledge Base 834489.

Informazioni sull'aggiornamento della sicurezza

Prerequisiti

Microsoft ha testato le versioni di Windows e le versioni di Internet Explorer elencate in questo bollettino per valutare se sono interessate da queste vulnerabilità e per confermare che l'aggiornamento descritto da questo bollettino descrive queste vulnerabilità.

Per installare le versioni di Internet Explorer 6 Service Pack 1 (SP1) di questo aggiornamento, è necessario eseguire Internet Explorer 6 SP1 (versione 6.00.2800.1106) in una delle versioni seguenti di Windows:

  • Microsoft Windows NT® Workstation 4.0 Service Pack 6a
  • Microsoft Windows NT Server 4.0 Service Pack 6a
  • Microsoft Windows NT Server 4.0 Terminal Server Edition, Service Pack 6
  • Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4
  • Microsoft Windows XP
  • Microsoft Windows XP Service Pack 1
  • Microsoft Windows XP 64 Bit Edition, Service Pack 1

Per installare Internet Explorer 6 per le versioni di Windows Server 2003 di questo aggiornamento, è necessario eseguire Internet Explorer 6 (versione 6.00.3790.0000) in Windows Server 2003 (a 32 bit o a 64 bit) oppure è necessario eseguire Internet Explorer 6 (versione 6.00.3790.0000) in Windows XP 64 Bit Edition, versione 2003.

Per installare la versione 6 di questo aggiornamento, è necessario eseguire Internet Explorer 6 (versione 6.00.2600.0000) in una versione a 32 bit di Windows XP.

Per installare la versione 5.5 di questo aggiornamento, è necessario eseguire Internet Explorer 5.5 Service Pack 2 (versione 5.50.4807.2300) in Microsoft Windows Millennium Edition

Nota: Internet Explorer 5.5 SP2 è attualmente supportato solo in Windows Millennium Edition (Windows Me). Tuttavia, poiché le vulnerabilità risolte in questo bollettino sono state segnalate pubblicamente prima del 31 dicembre 2003, questa versione dell'aggiornamento sarà supportata in Windows 2000 Service Pack 2, Service Pack 3 e Service Pack 4, nonché Windows 98, Windows 98 Second Edition e Windows NT 4.0 Service Pack 6a. Per altre informazioni sul supporto per Internet Explorer 5.5 SP2, vedere la pagina del ciclo di vita del prodotto Microsoft seguente. Windows Me è attualmente in supporto esteso. Per altre informazioni sul supporto per Windows Me, vedere l'annuncio seguente.

Per installare la versione di questo aggiornamento di Internet Explorer 5.01, è necessario eseguire una delle operazioni seguenti:

  • Internet Explorer 5.01 Service Pack 4 (versione 5.00.3700.1000) in Windows 2000 SP4

  • Internet Explorer 5.01 Service Pack 3 (versione 5.00.3502.1000) in Windows 2000 SP3

  • Internet Explorer 5.01 Service Pack 2 (versione 5.00.3315.1000) in Windows 2000 SP2

    Nota: le versioni di Windows e versioni di Internet Explorer non elencate in questo articolo non sono più supportate. Sebbene sia possibile installare alcuni dei pacchetti di aggiornamento descritti in questo articolo in queste versioni di Windows e di Internet Explorer, Microsoft non ha testato queste versioni per valutare se sono interessate da queste vulnerabilità o per confermare che l'aggiornamento descritto in questo bollettino descrive queste vulnerabilità. Microsoft consiglia di eseguire l'aggiornamento a una versione supportata di Windows e di Internet Explorer e quindi di applicare l'aggiornamento appropriato.

Per ulteriori informazioni su come determinare la versione di Internet Explorer in esecuzione, fare clic sul numero di articolo seguente per visualizzare l'articolo della Microsoft Knowledge Base:

164539 Come determinare quale versione di Internet Explorer è installata

Per altre informazioni sui cicli di vita del supporto per i componenti di Windows, visitare il sito Web supporto tecnico Microsoft Lifecycle.

Per ulteriori informazioni su come ottenere il Service Pack più recente per Internet Explorer 6, fare clic sul numero di articolo seguente per visualizzare l'articolo della Microsoft Knowledge Base:

328548 Come ottenere il Service Pack più recente per Internet Explorer 6

Per ulteriori informazioni su come ottenere il Service Pack più recente per Internet Explorer 5.5, fare clic sul numero di articolo seguente per visualizzare l'articolo nella Microsoft Knowledge Base:

276369 Come ottenere il Service Pack più recente per Internet Explorer 5.5

Per ulteriori informazioni su come ottenere il Service Pack più recente per Internet Explorer 5.01, fare clic sul numero di articolo seguente per visualizzare l'articolo della Microsoft Knowledge Base:

267954 Come ottenere l'ultimo Service Pack di Internet Explorer 5.01

Requisiti di riavvio

Per completare l'installazione, è necessario riavviare il computer. Non è necessario usare un accesso amministratore dopo il riavvio del computer per qualsiasi versione di questo aggiornamento.

Stato aggiornamento precedente

Questo aggiornamento sostituisce MS03-048: novembre 2003, aggiornamento cumulativo per Internet Explorer (824145).

Informazioni sull'installazione

Le versioni di Windows Server 2003 di questo aggiornamento della sicurezza (inclusa l'edizione a 64 bit di Windows XP, versione 2003) supportano le opzioni di installazione seguenti:

/help Visualizza le opzioni della riga di comando

Modalità di installazione

Modalità non interattiva /quiet (nessuna interazione o visualizzazione dell'utente)

/passive Modalità automatica (solo indicatore di stato)

/uninstall disinstalla il pacchetto

Opzioni di riavvio

/norestart Non riavviare al termine dell'installazione

/forcerestart Riavvia dopo l'installazione

Opzioni speciali

/l Elenca gli hotfix di Windows installati o i pacchetti di aggiornamento

/o Sovrascrivi i file OEM senza richiedere

/n Non eseguire il backup dei file necessari per la disinstallazione

/f Forzare la chiusura di altri programmi quando il computer si arresta

Informazioni sulla distribuzione

Per installare l'aggiornamento della sicurezza a 32 bit di Windows Server 2003 senza alcun intervento dell'utente, usare il comando seguente:

windowsserver2003-kb832894-x86-enu.exe /quiet /passive

Per installare questo aggiornamento della sicurezza senza forzare il riavvio del computer, usare il comando seguente:

windowsserver2003-kb832894-x86-enu.exe /norestart

Nota: è possibile combinare queste opzioni in un unico comando. Per la compatibilità con le versioni precedenti, l'aggiornamento della sicurezza supporta anche le opzioni di installazione usate dalla versione precedente dell'utilità di installazione. Tuttavia, è consigliabile interrompere l'uso delle opzioni precedenti perché questo supporto potrebbe essere rimosso negli aggiornamenti della sicurezza futuri.

Gli altri pacchetti di aggiornamento per questo aggiornamento della sicurezza supportano le opzioni di installazione seguenti:

/q Usare la modalità non interattiva o eliminare i messaggi quando i file vengono estratti.

/q:u Usare la modalità Utente non interattiva. La modalità Utente non interattiva presenta alcune finestre di dialogo all'utente.

/q:a Usare la modalità Amministrazione istrator-Quiet. Amministrazione istrator-quiet mode non presenta finestre di dialogo all'utente.

/t:path: specificare il percorso della cartella temporanea usata dal programma di installazione o dalla cartella di destinazione per estrarre i file (quando si usa l'opzione /c ).

/c: Estrarre i file senza installarli. Se non si specifica l'opzione /t:path, viene richiesta una cartella di destinazione.

/c:path Consente di specificare il percorso e il nome del file con estensione inf di installazione o del file .exe.

/r:n Non riavviare mai il computer dopo l'installazione.

/r:i Richiedere all'utente di riavviare il computer se è necessario un riavvio, tranne quando questa opzione viene usata con l'opzione /q:a .

/r:a Riavviare sempre il computer dopo l'installazione.

/r:s Riavviare il computer dopo l'installazione senza chiedere conferma all'utente.

/n:v Non controllare la versione. Usare questa opzione con cautela per installare l'aggiornamento in qualsiasi versione di Internet Explorer.

Ad esempio, per installare l'aggiornamento senza alcun intervento dell'utente e non forzare il riavvio del computer, usare il comando seguente:

q832894.exe /q:a /r:n

Nota Guida interattiva, fornita da "/?" l'opzione mostrerà solo un subset di opzioni. Tuttavia, tutte le opzioni elencate in precedenza sono supportate da questo aggiornamento.

Verifica dell'installazione dell'aggiornamento

Per verificare che un aggiornamento della sicurezza sia installato in un sistema interessato, è possibile usare lo strumento Microsoft Baseline Security Analyzer (MBSA). Microsoft Baseline Security Analyzer (MBSA) consente agli amministratori di analizzare i sistemi locali e remoti per individuare gli aggiornamenti della sicurezza mancanti e le configurazioni comuni della sicurezza. Per altre informazioni su MBSA, visitare il sito Web Microsoft Baseline Security Analyzer .

È anche possibile verificare i file installati da questo aggiornamento della sicurezza usando uno dei metodi seguenti:

  • Verificare che Q832894 sia elencato nel campo Aggiorna versioni della finestra di dialogo Informazioni su Internet Explorer . Non è possibile utilizzare questo metodo in Windows Server 2003 o in Windows XP a 64 bit Edition, versione 2003 perché il pacchetto non aggiorna il campo Versioni di aggiornamento per queste versioni di Windows.
  • Confrontare le versioni dei file aggiornati nel computer con i file elencati nella sezione "Informazioni file" di questo bollettino.
  • Verificare che esistano le voci del Registro di sistema seguenti:

    • Windows Server 2003 e Windows XP a 64 bit Edition, versione 2003:

      Verificare che il valore DWORD installato con un valore di dati pari a 1 venga visualizzato nella chiave del Registro di sistema seguente:

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB832894

    • Tutte le altre versioni di Windows:

      Verificare che il valore DWORD IsInstalled con un valore di dati pari a 1 venga visualizzato nella chiave del Registro di sistema seguente:

      HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{eddbec60-89cb-44ef-8291-0850fd28ff6a}

Informazioni sulla rimozione

Per rimuovere questo aggiornamento, utilizzare lo strumento Installazione applicazioni (o lo strumento Installazione applicazioni) in Pannello di controllo. Fare clic su Internet Explorer Q832894, quindi su Modifica/Rimuovi oppure su Aggiungi/Rimuovi.

In Windows Server 2003 e in Windows XP 64 Bit Edition, versione 2003, gli amministratori di sistema possono usare l'utilità Spunist.exe per rimuovere questo aggiornamento della sicurezza. L'utilità Spuninst.exe si trova nella cartella %Windir%\$NTUninstallKB 832894$\Spuninst. Questa utilità supporta le opzioni di installazione seguenti:

/?:-Mostra l'elenco delle opzioni di installazione.

/u:-Usare la modalità automatica.

/f:-Forzare la chiusura di altri programmi quando il computer si arresta.

/z:-Non riavviare al termine dell'installazione.

/q:-Usa modalità non interattiva (nessuna interazione dell'utente).

In tutte le altre versioni di Windows, gli amministratori di sistema possono usare l'utilità Ieuninst.exe per rimuovere questo aggiornamento. Questo aggiornamento della sicurezza installa l'utilità Ieuninst.exe nella cartella %Windir%. Questa utilità supporta le opzioni di installazione seguenti:

/?:-Mostra l'elenco delle opzioni supportate.

/z:-Non riavviare al termine dell'installazione.

/q:-Usa modalità non interattiva (nessuna interazione dell'utente).

Ad esempio, per rimuovere questo aggiornamento in modalità non interattiva, usare il comando seguente:

c:\windows\ieuninst /q c:\windows\inf\q832894.inf

Nota: questo comando presuppone che Windows sia installato nella cartella C:\Windows.

Informazioni sui file

La versione inglese di questa correzione include gli attributi del file (o versioni successive) elencati nella tabella seguente. Le date e le ore per questi file sono elencate nell'ora UTC (Coordinated Universal Time). Quando si visualizzano le informazioni sul file, le informazioni vengono convertite nell'ora locale. Per trovare la differenza tra l'ora UTC e l'ora locale, usare la scheda Fuso orario nello strumento Data e ora in Pannello di controllo.

Nota: a causa delle dipendenze dei file, questo aggiornamento può contenere file aggiuntivi.

Per informazioni sull'aggiornamento della sicurezza specifico per il sistema operativo, fare clic sul collegamento appropriato.

Internet Explorer 6 SP1 per Windows XP, Windows XP SP1, Windows 2000 SP2, Windows 2000 SP3, Windows 2000 SP4, Windows NT 4.0 SP6a

Data Time Versione Dimensione Nome del file Piattaforma
22 gennaio 2004 00:21 6.00.2800.1400 1,026,048 Browseui.dll X86
22 gennaio 2004 00:19 6.00.2800.1400 2,795,520 Mshtml.dll X86
22 gennaio 2004 00:15 6.00.2800.1400 1,339,904 Shdocvw X86
21 gennaio 2004 23:18 6.00.2800.1400 395,264 Shlwapi.dll X86
22 gennaio 2004 00:20 6.00.2800.1400 484,352 Urlmon X86
22 gennaio 2004 00:16 6.00.2800.1400 588,288 Wininet X86

Internet Explorer 6 SP1 (64 bit) per Windows XP a 64 bit Edition

Data Time Versione Dimensione Nome del file Piattaforma
22 gennaio 2004 02:00 6.00.2800.1400 2,855,936 Browseui.dll IA64
22 gennaio 2004 02:11 6.00.2800.1400 9,083,392 Mshtml.dll IA64
22 gennaio 2004 01:59 6.00.2800.1400 3,650,560 Shdocvw IA64
22 gennaio 2004 13:55 6.00.2800.1400 1,095,168 Shlwapi.dll IA64
22 gennaio 2004 02:13 6.00.2800.1400 1,415,680 Urlmon IA64
22 gennaio 2004 02:13 6.00.2800.1400 1,796,608 Wininet IA64

Internet Explorer 6 SP1 in Windows Server 2003

RTMQFE

Data Time Versione Dimensione Nome del file Piattaforma
15 gennaio 2004 19:00 6.00.3790.115 1,057,792 Browseui.dll X86
15 gennaio 2004 19:00 6.00.3790.118 2,918,912 Mshtml.dll X86
15 gennaio 2004 19:00 6.00.3790.118 1,394,688 Shdocvw X86
15 gennaio 2004 19:00 6.00.3790.115 509,952 Urlmon X86
15 gennaio 2004 19:00 6.00.3790.118 624,640 Wininet X86

RTMGDR

Data Time Versione Dimensione Nome del file Piattaforma
15 gennaio 2004 18:28 6.00.3790.115 1,057,792 Browseui.dll X86
15 gennaio 2004 18:28 6.00.3790.118 2,918,912 Mshtml.dll X86
15 gennaio 2004 18:28 6.00.3790.118 1,394,688 Shdocvw X86
15 gennaio 2004 18:28 6.00.3790.115 509,952 Urlmon X86
15 gennaio 2004 18:28 6.00.3790.118 624,640 Wininet X86

Nota: quando si installa questo aggiornamento della sicurezza, il programma di installazione verifica se uno dei file aggiornati nel computer è stato precedentemente aggiornato da un hotfix Microsoft. Se in precedenza è stato installato un hotfix per aggiornare uno di questi file, il programma di installazione copia i file RTMQFE nel computer. In caso contrario, il programma di installazione copia i file RTMGDR nel computer. Per altre informazioni, fare clic sul numero di articolo seguente per visualizzare l'articolo nella Microsoft Knowledge Base:

824994 Descrizione del contenuto di un pacchetto di aggiornamento del prodotto Windows Server 2003.

Internet Explorer 6 SP1 (64 bit) nelle versioni a 64 bit di Windows 2003 a 64 bit e in Windows XP versione 2003

RTMQFE

Data Time Versione Dimensione Nome del file Piattaforma
15 gennaio 2004 19:02 6.00.3790.115 2,536,960 Browseui.dll IA64
15 gennaio 2004 19:02 6.00.3790.118 8,212,992 Mshtml.dll IA64
15 gennaio 2004 19:02 6.00.3790.118 3,361,792 Shdocvw IA64
15 gennaio 2004 19:02 6.00.3790.115 1,272,320 Urlmon IA64
15 gennaio 2004 19:02 6.00.3790.118 1,503,744 Wininet IA64
15 gennaio 2004 19:02 6.00.3790.115 1,057,792 Wbrowseui.dll X86
15 gennaio 2004 19:02 6.00.3790.118 2,918,912 Wmshtml.dll X86
15 gennaio 2004 19:02 6.00.3790.118 1,394,688 Wshdocvw.dll X86
15 gennaio 2004 19:02 6.00.3790.115 509,952 Wurlmon.dll X86
15 gennaio 2004 19:02 6.00.3790.118 624,640 Wwininet.dll X86

RTMGDR

Data Time Versione Dimensione Nome del file Piattaforma
15 gennaio 2004 18:24 6.00.3790.115 2,536,960 Browseui.dll IA64
15 gennaio 2004 18:24 6.00.3790.118 8,212,992 Mshtml.dll IA64
15 gennaio 2004 18:24 6.00.3790.118 3,361,792 Shdocvw IA64
15 gennaio 2004 18:24 6.00.3790.115 1,272,320 Urlmon IA64
15 gennaio 2004 18:24 6.00.3790.118 1,503,744 Wininet IA64
15 gennaio 2004 18:24 6.00.3790.115 1,057,792 Wbrowseui.dll X86
15 gennaio 2004 18:24 6.00.3790.118 2,918,912 Wmshtml.dll X86
15 gennaio 2004 18:24 6.00.3790.118 1,394,688 Wshdocvw.dll X86
15 gennaio 2004 18:24 6.00.3790.115 509,952 Wurlmon.dll X86
15 gennaio 2004 18:24 6.00.3790.118 624,640 Wwininet.dll X86

Nota: quando si installa questo aggiornamento della sicurezza, il programma di installazione verifica se uno dei file aggiornati nel computer è stato precedentemente aggiornato da un hotfix Microsoft. Se in precedenza è stato installato un hotfix per aggiornare uno di questi file, il programma di installazione copia i file RTMQFE nel computer. In caso contrario, il programma di installazione copia i file RTMGDR nel computer. Per altre informazioni, fare clic sul numero di articolo seguente per visualizzare l'articolo nella Microsoft Knowledge Base:

824994 Descrizione del contenuto di un pacchetto di aggiornamento del prodotto Windows Server 2003.

Internet Explorer 6 per Windows XP

Data Time Versione Dimensione Nome del file Piattaforma
16 gennaio 2004 11:29 6.00.2737.1600 1,024,512 Browseui.dll X86
08-gennaio 2004 22:21 6.00.2737.800 2,764,288 Mshtml.dll X86
15-ago-2003 20:31 6.00.2722.900 34,304 Pngfilt.dll X86
05-Mar-2002 03:09 6.00.2715.400 548,864 Shdoclc.dll X86
08-gennaio 2004 22:23 6.00.2737.800 1,337,344 Shdocvw X86
15-ago-2003 20:31 6.00.2730.1200 391,168 Shlwapi.dll X86
15-ago-2003 20:31 6.00.2715.400 109,568 Url.dll X86
23-dicembre 2003 21:14 6.00.2736.2300 481,792 Urlmon X86
08-gennaio 2004 22:23 6.00.2737.800 585,216 Wininet X86

Internet Explorer 5.5 SP2 per Windows Millennium Edition

Data Time Versione Dimensione Nome del file Piattaforma
23-dicembre 2003 18:01 5.50.4936.2300 815,376 Browseui.dll X86
09-Gennaio 2004 01:08 5.50.4937.800 2,760,464 Mshtml.dll X86
17 ottobre 2002 03:01 5.50.4922.900 48,912 Pngfilt.dll X86
09-Gennaio 2004 01:09 5.50.4937.800 1,149,712 Shdocvw X86
12 giugno 2003 23:24 5.50.4930.1200 300,816 Shlwapi.dll X86
05-Mar-2002 04:53 5.50.4915.500 84,240 Url.dll X86
23-dicembre 2003 18:08 5.50.4936.2300 451,856 Urlmon X86
09-Gennaio 2004 01:09 5.50.4937.800 483,600 Wininet X86

Internet Explorer 5.01 per Windows 2000 SP2

Data Time Versione Dimensione Nome del file Piattaforma
23-dicembre 2003 18:40 5.00.3525.2300 792,848 Browseui.dll X86
09-Gennaio 2004 03:57 5.00.3526.800 2,283,792 Mshtml.dll X86
19-ago-2003 18:00 5.00.3521.1800 48,912 Pngfilt.dll X86
09-Gennaio 2004 04:00 5.00.3526.800 1,100,048 Shdocvw X86
19-ago-2003 18:00 5.00.3521.1800 279,824 Shlwapi.dll X86
05-Mar-2002 04:53 5.50.4915.500 84,240 Url.dll X86
23-dicembre 2003 18:46 5.00.3525.2300 409,360 Urlmon X86
09-Gennaio 2004 04:02 5.00.3526.800 447,248 Wininet X86

Internet Explorer 5.01 per Windows 2000 SP3

Data Time Versione Dimensione Nome del file Piattaforma
23-dicembre 2003 18:40 5.00.3525.2300 792,848 Browseui.dll X86
09-Gennaio 2004 03:57 5.00.3526.800 2,283,792 Mshtml.dll X86
19-ago-2003 18:00 5.00.3521.1800 48,912 Pngfilt.dll X86
09-Gennaio 2004 04:00 5.00.3526.800 1,100,048 Shdocvw X86
19-ago-2003 18:00 5.00.3521.1800 279,824 Shlwapi.dll X86
05-Mar-2002 04:53 5.50.4915.500 84,240 Url.dll X86
23-dicembre 2003 18:46 5.00.3525.2300 409,360 Urlmon X86
09-Gennaio 2004 04:02 5.00.3526.800 447,248 Wininet X86

Internet Explorer 5.01 per Windows 2000 SP4

Data Time Versione Dimensione Nome del file Piattaforma
23-dicembre 2003 16:47 5.00.3812.2300 792,848 Browseui.dll X86
09-Gennaio 2004 16:30 5.00.3813.800 2,283,792 Mshtml.dll X86
13-Giu-2003 02:15 5.00.3806.1200 48,912 Pngfilt.dll X86
09-Gennaio 2004 04:33 5.00.3813.800 1,100,048 Shdocvw X86
13-Giu-2003 02:07 5.00.3806.1200 279,824 Shlwapi.dll X86
05-Mar-2002 04:53 5.50.4915.500 84,240 Url.dll X86
23-dicembre 2003 16:53 5.00.3812.2300 409,360 Urlmon X86
09-Gennaio 2004 04:35 5.00.3813.800 447,248 Wininet X86

Altre informazioni

Riconoscimenti

Microsoft ringraziaAndreas Sandblad per la segnalazione della vulnerabilità di travel log cross domainy CAN-2003-1026 e collabora con Microsoft per proteggere i clienti.

Recupero di altri aggiornamenti della sicurezza:

Aggiornamenti per altri problemi di sicurezza sono disponibili nelle posizioni seguenti:

  • Gli aggiornamenti della sicurezza sono disponibili nell'Area download Microsoft e possono essere trovati più facilmente eseguendo una ricerca di parole chiave "security_patch".
  • Aggiornamenti per le piattaforme consumer sono disponibili da Sito Web di Microsoft Update.

Supporto:

  • Il supporto tecnico è disponibile dai Servizi supporto tecnico Microsoft presso 1-866-PCSAFETY per i clienti negli Stati Uniti e in Canada. Non sono previsti addebiti per le chiamate di supporto associate agli aggiornamenti della sicurezza.
  • I clienti internazionali possono ottenere supporto dalle filiali Microsoft locali. Non è previsto alcun addebito per il supporto associato agli aggiornamenti della sicurezza. Le informazioni su come contattare il supporto tecnico Microsoft sono disponibili nel sito Web del supporto internazionale.

Risorse di sicurezza:

Software Update Services (SUS):

Microsoft Software Update Services (SUS) consente agli amministratori di distribuire rapidamente e in modo affidabile gli aggiornamenti critici e gli aggiornamenti della sicurezza più recenti ai server basati su Windows® 2000 e Windows Server™ 2003, nonché ai computer desktop che eseguono Windows 2000 Professional o Windows XP Professional.

Per informazioni su come distribuire questo aggiornamento della sicurezza con Software Update Services, visitare il sito Web di Software Update Services .

Systems Management Server (SMS):

Systems Management Server può fornire assistenza per la distribuzione di questo aggiornamento della sicurezza. Per informazioni su Systems Management Server, visitare il sito Web SMS. Per informazioni dettagliate sui numerosi miglioramenti apportati al processo di distribuzione degli aggiornamenti della sicurezza fornito da SMS 2003, visitare il sito Web di gestione delle patch di sicurezza SMS 2003. Per gli utenti di SMS 2.0, offre anche diversi strumenti aggiuntivi per aiutare gli amministratori nella distribuzione degli aggiornamenti della sicurezza, ad esempio SMS 2.0 Software Update Services Feature Pack e SMS 2.0 Amministrazione istration Feature Pack. Sms 2.0 Software Update Services Feature Pack utilizza Microsoft Baseline Security Analyzer e Microsoft Office Detection Tool per fornire un ampio supporto per la correzione del bollettino sulla sicurezza. Alcuni aggiornamenti software potrebbero richiedere diritti amministrativi dopo un riavvio del computer.

Nota: le funzionalità di inventario del Feature Pack di SMS 2.0 Software Update Services possono essere usate per la destinazione degli aggiornamenti a computer specifici e lo strumento di distribuzione dei diritti elevati del Feature Pack di AMMINISTRAZIONE 2.0 per l'installazione di SMS 2.0. Ciò garantisce una distribuzione ottimale per gli aggiornamenti che richiedono la destinazione esplicita usando Systems Management Server e i diritti amministrativi dopo il riavvio del computer.

Declinazione di responsabilità:

Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.

Revisioni:

  • V1.0 2 febbraio 2004: Bollettino pubblicato.
  • V1.1 3 febbraio 2004: aggiunta di domande frequenti e prerequisiti per Internet Explorer 5.5 SP2. Aggiornamento delle mitigazioni di Outlook in Dettagli tecnici.
  • V1.2 Febbraio 4, 2004: Aggiornamento delle mitigazioni di Outlook nella sezione Dettagli tecnici.
  • V1.3 5 febbraio 2004: Aggiornamento delle informazioni MSXML nella sezione Dettagli tecnici.
  • V1.4 9 febbraio 2004: aggiornamento della sezione Avvertenze, Dettagli tecnici e Domande frequenti con informazioni relative alle modifiche apportate all'archivio di protezione di Internet Explorer. Modifica della versione del file e delle colonne dei nomi per pngfilt.dll nella sezione Internet Explorer 5.01 SP2 di Informazioni sull'aggiornamento della sicurezza.
  • V1.5 12 febbraio 2004: aggiornamento della sezione Avvertenze, Dettagli tecnici e Domande frequenti con informazioni sugli errori HTTP 500 (errore interno del server) ricevuti quando si visitano alcuni siti SSL/TLS 3.0.
  • V1.6 18 febbraio 2004: Aggiunta di problemi sul lato server per il problema SSL nelle domande frequenti, rimosso "SP1" dalle versioni di Windows 2003 IE 6.0 nella matrice di valutazione della gravità nelle sezioni Dettagli tecnici, sono state aggiunte opzioni di installazione per la nuova utilità di installazione nella sezione Informazioni sugli aggiornamenti della sicurezza.
  • V1.7 12 aprile 2004: Aggiunta della nota nella sezione Aggiornamento della sicurezza che illustra le opzioni di installazione e la Guida interattiva.

Costruito al 2014-04-18T13:49:36Z-07:00</https:>