Bollettino Microsoft sulla sicurezza MS09-012 - Importante

Per fattore attenuante si intende un'impostazione, una configurazione comune o una procedura consigliata generica esistente in uno stato predefinito in grado di ridurre la gravità nello sfruttamento di una vulnerabilità. I seguenti fattori attenuanti possono essere utili per l'utente:

• Per sfruttare questa vulnerabilità l'utente malintenzionato deve essere in grado di eseguire del codice sul computer locale.

Per soluzione alternativa si intende un'impostazione o una modifica nella configurazione che non elimina la vulnerabilità sottostante, ma consente di bloccare gli attacchi noti prima di applicare l'aggiornamento. Microsoft ha verificato le seguenti soluzioni alternative e segnala nel corso della discussione se tali soluzioni riducono la funzionalità:

• IIS 6.0 - Configurare un'identità WPI (Worker Process Identity) per un pool di applicazioni in IIS per utilizzare un account creato in IIS Manager e disattivare MSDTC

  Eseguire la procedura seguente:

  1. In IIS Manager, espandere il computer locale, espandere Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e scegliere Proprietà.
  2. Fare clic sulla scheda Identità, quindi fare clic su Configurabile. Nelle caselle Nome utente e Password, digitare il nome utente e la password dell'account all'interno del quale si desidera che operi il processo di lavoro.
  3. Aggiungere l'account utente scelto al gruppo IIS_WPG.

  La disattivazione di Distributed Transaction Coordinator consente di proteggere il sistema interessato da tentativi di sfruttamento di questa vulnerabilità. Per disabilitare Distributed Transaction Coordinator, attenersi alla seguente procedura:

  1. Fare clic su Start e scegliere Pannello di controllo. In alternativa, scegliere Impostazioni e quindi Pannello di controllo.
  2. Fare doppio clic su Strumenti di amministrazione. In alternativa, scegliere Passa alla visualizzazione classica e fare doppio clic su Strumenti di amministrazione.
  3. Fare doppio clic su Servizi.
  4. Fare doppio clic su Distributed Transaction Coordinator.
  5. Selezionare Disabilitato dall'elenco Tipo di avvio.
  6. Fare clic su Arresta (se avviato), quindi fare clic su OK.

  È anche possibile arrestare e disabilitare il servizio MSDTC digitando il comando seguente al prompt dei comandi:
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne. Un esempio è Autenticazione Windows; vedere l'articolo della Microsoft Knowledge Base 871179. La disattivazione di MSDTC impedirà alle applicazioni di utilizzare transazioni distribuite. La disattivazione di MSDTC impedirà a IIS 5.1 di essere eseguito in Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3 e a IIS 6.0 di essere eseguito in modalità compatibilità IIS 5.0. La disattivazione di MSDTC impedirà la configurazione e l'esecuzione delle applicazioni COM+.

• IIS 7.0 - Specificare un WPI per un pool di applicazioni in IIS Manager
  1. In IIS Manager, espandere il nodo server, fare clic su Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e infine fare clic su Impostazioni avanzate.
  2. Trovare la voce Identità, quindi fare clic sul pulsante … per aprire la finestra di dialogo Identità pool di applicazioni.
  3. Selezionare l'opzione Account personalizzato, quindi fare clic su Imposta per aprire la finestra di dialogo Imposta credenziali. Nelle caselle di testo per nome utente e password, digitare il Nome account e la Password scelti. Digitare nuovamente la password nella caselle di testo Conferma password, quindi fare clic su OK.

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

• IIS 7.0 - Specificare una WPI per un pool di applicazioni utilizzando l'utilità della riga di comando APPCMD.exe
  1. Da un prompt dei comandi di livello elevato, passare alla directory %systemroot%\system32\inetsrv.
  2. Eseguire il comando APPCMD.exe utilizzando la sintassi seguente, in cui string è il nome del pool di applicazioni, userName:string è il nome utente dell'account assegnato al pool di applicazioni e password:string è la password dell'account.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7.0 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

Qual è la portata o l'impatto di questa vulnerabilità?  
Si tratta di una vulnerabilità associata all'acquisizione di privilegi più elevati. Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice arbitrario con privilegi NetworkService. Può quindi ottenere il token LocalSystem da altri servizi vulnerabili e installare programmi, visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

Quali sono le cause di questa vulnerabilità?  
La vulnerabilità è dovuta al fatto che il servizio per transazioni MSDTC (Microsoft Distributed Transaction Coordinator) consente di ottenere e utilizzare il token NetworkService quando si invia una richiesta RPC.

Che cos'è il servizio Microsoft Distributed Transaction Coordinator?  
Il servizio MSDTC (Microsoft Distributed Transaction Coordinator) è una soluzione per transazioni distribuite per piattaforme Microsoft Windows. MSDTC utilizza la tecnologia di elaborazione delle transazioni. È affidabile nonostante gli errori del sistema, dei processi e delle comunicazioni, sfrutta i sistemi a memoria non condivisa per fornire prestazioni scalabili ed è semplice da installare, configurare e gestire.

Per ulteriori informazioni su MSDTC, vedere l'articolo di MSDN DTC Developers Guide.

Che cosa significa RPC?  
RPC (Remote Procedure Call) è un protocollo che può essere utilizzato da un'applicazione per richiedere un servizio a un programma residente in un altro computer della rete. RPC aumenta l'interoperabilità perché per i programmi che lo utilizzano non è necessario conoscere i protocolli di rete che supportano la comunicazione. In questo caso, il programma che invia la richiesta è il client, mentre quello che fornisce il servizio è il server.

Che cos'è un account NetworkService?  
Un account NetworkService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e funge da account del computer all'interno della rete. Un servizio in esecuzione nel contesto di un account NetworkService presenta le credenziali del computer ai server remoti. Per ulteriori informazioni, vedere l'articolo di MSDN NetworkService Account.

Che cos'è un account LocalService?  
Un account LocalService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e presenta delle credenziali anonime per accedere alla rete. Per ulteriori informazioni, vedere l'articolo di MSDN LocalService Account.

Che cos'è un account LocalSystem?  
Un account LocalSystem è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di ampi privilegi sul computer locale e funge da account del computer all'interno della rete. Il suo token include i SID NT AUTHORITY\SYSTEM e BUILTIN\Administrators. Tali account hanno accesso alla maggior parte degli oggetti di sistema. Un servizio in esecuzione nel contesto di un account LocalSystem eredita il contesto di protezione di Gestione controllo servizi. La maggior parte dei servizi non ha bisogno di un livello di privilegi così elevato. Per ulteriori informazioni, vedere l'articolo di MSDN LocalSystem Account.

In che modo IIS è interessato da questo problema?  
I sistemi che eseguono codice fornito dagli utenti in Internet Information Services (IIS) possono essere interessati da questo problema, ad esempio le estensioni e i filtri ISAPI, nonché il codice ASP.NET eseguito in attendibilità totale.

IIS non è interessato negli scenari seguenti:

• Le installazioni predefinite di IIS 5.1, IIS 6.0 e IIS 7.0
• ASP.NET configurato per essere eseguito con un livello di attendibilità inferiore a quella totale

In che modo SQL Server è interessato da questo problema?  
I sistemi che eseguono SQL Server possono essere interessati dal problema, nel momento in cui vengono concessi a un utente i privilegi amministrativi necessari per caricare ed eseguire codice. Un utente dotato di privilegi di amministratore per SQL Server può eseguire codice appositamente predisposto per sfruttare la vulnerabilità. Tuttavia, questo privilegio non è concesso per impostazione predefinita.

Quali altre applicazioni possono essere interessate da questa vulnerabilità?  
I sistemi che eseguono processi che caricano ed eseguono codice fornito dagli utenti con privilegio SeImpersonatePrivilege possono essere suscettibili di attacchi con acquisizione di privilegi più elevati, come descritto nel presente bollettino sulla sicurezza. L'impostazione relativa al privilegio SeImpersonatePrivilege è illustrata nell'articolo della Microsoft Knowledge Base 821546.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?  
Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice appositamente predisposto nel contesto di un account NetworkService. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

In quale modo un utente malintenzionato può sfruttare questa vulnerabilità?  
Per sfruttare la vulnerabilità, è necessario che un utente malintenzionato acceda al sistema ed esegua un'applicazione appositamente predisposta per assumere il controllo completo del sistema.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?  
I sistemi maggiormente a rischio sono workstation e server terminal. I server possono essere maggiormente a rischio se agli utenti privi di autorizzazioni amministrative viene consentito di accedere ai server e di eseguire programmi. Tuttavia, le procedure consigliate scoraggiano fortemente questa attribuzione di privilegi.

Tutti i sistemi che eseguono tutte le edizioni supportate di Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3, nonché tutte le versioni e le edizioni supportate di Windows Server 2003, Windows Vista e Windows Server 2008 possono essere a rischio se IIS è attivato o SQL Server è installato e configurato o distribuito in uno stato vulnerabile, come descritto nel presente bollettino.

Sono inoltre maggiormente esposti i sistemi IIS che consentono agli utenti di caricare del codice. I sistemi SQL Server sono a rischio se agli utenti non attendibili viene concesso l'accesso ad account privilegiati. Ciò potrebbe includere i provider di hosting Web o ambienti simili.

Quali sono gli scopi dell'aggiornamento?  
L'aggiornamento risolve la vulnerabilità riducendo il livello di privilegi del token richiesto da MSDTC.

Al momento del rilascio di questo bollettino le informazioni sulla vulnerabilità erano disponibili pubblicamente?  
Sì. Le informazioni sulla vulnerabilità sono state divulgate pubblicamente. Questa vulnerabilità è stata identificata con il codice CVE-2008-1436.

Al momento del rilascio di questo bollettino erano già stati segnalati attacchi basati sullo sfruttamento di questa vulnerabilità?  
Sì. Microsoft è a conoscenza di un limitato numero di attacchi che tentano di utilizzare questa vulnerabilità.

L'applicazione di questo aggiornamento per la protezione consente di proteggere i clienti da codice pubblicato che tenti di sfruttare la vulnerabilità?  
Sì. L'aggiornamento per la protezione affronta la vulnerabilità attualmente sfruttata. Questa vulnerabilità è stata identificata con il codice CVE-2008-1436.

Per fattore attenuante si intende un'impostazione, una configurazione comune o una procedura consigliata generica esistente in uno stato predefinito in grado di ridurre la gravità nello sfruttamento di una vulnerabilità. I seguenti fattori attenuanti possono essere utili per l'utente:

• Per sfruttare questa vulnerabilità l'utente malintenzionato deve essere in grado di eseguire del codice sul computer locale.

Per soluzione alternativa si intende un'impostazione o una modifica nella configurazione che non elimina la vulnerabilità sottostante, ma consente di bloccare gli attacchi noti prima di applicare l'aggiornamento. Microsoft ha verificato le seguenti soluzioni alternative e segnala nel corso della discussione se tali soluzioni riducono la funzionalità:

• IIS 6.0 - Configurare un'identità WPI (Worker Process Identity) per un pool di applicazioni in IIS per utilizzare un account creato in IIS Manager e disattivare MSDTC

  Eseguire la procedura seguente:

  1. In IIS Manager, espandere il computer locale, espandere Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e scegliere Proprietà.
  2. Fare clic sulla scheda Identità, quindi fare clic su Configurabile. Nelle caselle Nome utente e Password, digitare il nome utente e la password dell'account all'interno del quale si desidera che operi il processo di lavoro.
  3. Aggiungere l'account utente scelto al gruppo IIS_WPG.

  La disattivazione di Distributed Transaction Coordinator consente di proteggere il sistema interessato da tentativi di sfruttamento di questa vulnerabilità. Per disabilitare Distributed Transaction Coordinator, attenersi alla seguente procedura:

  1. Fare clic su Start e scegliere Pannello di controllo. In alternativa, scegliere Impostazioni e quindi Pannello di controllo.
  2. Fare doppio clic su Strumenti di amministrazione. In alternativa, scegliere Passa alla visualizzazione classica e fare doppio clic su Strumenti di amministrazione.
  3. Fare doppio clic su Servizi.
  4. Fare doppio clic su Distributed Transaction Coordinator.
  5. Selezionare Disabilitato dall'elenco Tipo di avvio.
  6. Fare clic su Arresta (se avviato), quindi fare clic su OK.

  È anche possibile arrestare e disabilitare il servizio MSDTC digitando il comando seguente al prompt dei comandi:
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne. Un esempio è Autenticazione Windows; vedere l'articolo della Microsoft Knowledge Base 871179. La disattivazione di MSDTC impedirà alle applicazioni di utilizzare transazioni distribuite. La disattivazione di MSDTC impedirà a IIS 5.1 di essere eseguito in Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3 e a IIS 6.0 di essere eseguito in modalità compatibilità IIS 5.0. La disattivazione di MSDTC impedirà la configurazione e l'esecuzione delle applicazioni COM+.

• IIS 7.0 - Specificare un WPI per un pool di applicazioni in IIS Manager
  1. In IIS Manager, espandere il nodo server, fare clic su Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e infine fare clic su Impostazioni avanzate.
  2. Trovare la voce Identità, quindi fare clic sul pulsante … per aprire la finestra di dialogo Identità pool di applicazioni.
  3. Selezionare l'opzione Account personalizzato, quindi fare clic su Imposta per aprire la finestra di dialogo Imposta credenziali. Nelle caselle di testo per nome utente e password, digitare il Nome account e la Password scelti. Digitare nuovamente la password nella caselle di testo Conferma password, quindi fare clic su OK.

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

• IIS 7.0 - Specificare un WPI per un pool di applicazioni utilizzando l'utilità della riga di comando APPCMD.exe
  1. Da un prompt dei comandi di livello elevato, passare alla directory %systemroot%\system32\inetsrv.
  2. Eseguire il comando APPCMD.exe utilizzando la sintassi seguente, in cui string è il nome del pool di applicazioni, userName:string è il nome utente dell'account assegnato al pool di applicazioni e password:string è la password dell'account.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7.0 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

Qual è la portata o l'impatto di questa vulnerabilità?  
Si tratta di una vulnerabilità associata all'acquisizione di privilegi più elevati. Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice non autorizzato con gli stessi diritti dell'account LocalSystem. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

Quali sono le cause di questa vulnerabilità?  
La vulnerabilità è dovuta a un errato isolamento da parte del provider WMI (Windows Management Instrumentation) dei processi eseguiti nel contesto di account NetworkService o LocalService. Due processi separati eseguiti nel contesto di uno stesso account hanno accesso completo alle rispettive risorse, come handle di file, chiavi del Registro di sistema, handle e così via. Il processo host del provider WMI prevede in determinati scenari dei token di SISTEMA. Se un utente malintenzionato riesce ad accedere a un computer nel contesto di un account NetworkService o LocalService, tale utente potrà eseguire del codice al fine di sondare i processi host del provider WMI per i token di SISTEMA. Una volta rintracciato un token di SISTEMA, il codice dell'utente malintenzionato potrà utilizzarlo per ottenere dei privilegi di SISTEMA.

Che cosa significa WMI (Windows Management Instrumentation)?  
Windows Management Instrumentation (WMI) è la principale tecnologia di gestione per i sistemi operativi Microsoft Windows. Consente di gestire, controllare e monitorare in modo coerente e uniforme i sistemi all’interno dell’azienda. WMI consente agli amministratori di sistema di richiedere, modificare e monitorare le impostazioni di configurazione su sistemi desktop e server, le applicazioni, le reti e altri componenti dell'organizzazione. Per ulteriori informazioni, vedere WMI Scripting Primer.

Che cos'è un account NetworkService?  
Un account NetworkService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e funge da account del computer all'interno della rete. Un servizio in esecuzione nel contesto di un account NetworkService presenta le credenziali del computer ai server remoti. Per ulteriori informazioni, vedere l'articolo di MSDN NetworkService Account.

Che cos'è un account LocalService?  
Un account LocalService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e presenta delle credenziali anonime per accedere alla rete. Per ulteriori informazioni, vedere l'articolo di MSDN LocalService Account.

Che cos'è un account LocalSystem?  
Un account LocalSystem è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di ampi privilegi sul computer locale e funge da account del computer all'interno della rete. Il suo token include i SID NT AUTHORITY\SYSTEM e BUILTIN\Administrators. Tali account hanno accesso alla maggior parte degli oggetti di sistema. Un servizio in esecuzione nel contesto di un account LocalSystem eredita il contesto di protezione di Gestione controllo servizi. La maggior parte dei servizi non ha bisogno di un livello di privilegi così elevato. Per ulteriori informazioni, vedere l'articolo di MSDN LocalSystem Account.

In che modo IIS è interessato da questo problema?  
I sistemi che eseguono codice fornito dagli utenti in Internet Information Services (IIS) possono essere interessati da questo problema, ad esempio le estensioni e i filtri ISAPI, nonché il codice ASP.NET eseguito in attendibilità totale.

IIS non è interessato negli scenari seguenti:

• Le installazioni predefinite di IIS 5.1, IIS 6.0 e IIS 7.0
• ASP.NET configurato per essere eseguito con un livello di attendibilità inferiore a quella totale

In che modo SQL Server è interessato da questo problema?  
I sistemi che eseguono SQL Server possono essere interessati dal problema, nel momento in cui vengono concessi a un utente i privilegi amministrativi necessari per caricare ed eseguire codice. Un utente dotato di privilegi di amministratore per SQL Server può eseguire codice appositamente predisposto per sfruttare la vulnerabilità. Tuttavia, questo privilegio non è concesso per impostazione predefinita.

Quali provider WMI sono interessati da questo aggiornamento?
Un elenco completo dei provider WMI interessati dal presente aggiornamento è disponibile nell'articolo della Microsoft Knowledge Base 956572.

Quali altre applicazioni possono essere interessate da questa vulnerabilità?  
I sistemi che eseguono processi che caricano ed eseguono codice fornito dagli utenti con privilegio SeImpersonatePrivilege possono essere suscettibili di attacchi con acquisizione di privilegi più elevati, come descritto nel presente bollettino sulla sicurezza. L'impostazione relativa al privilegio SeImpersonatePrivilege è illustrata nell'articolo della Microsoft Knowledge Base 821546.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?  
Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice appositamente predisposto nel contesto di account NetworkService o LocalService. Tale codice potrebbe ottenere accesso a risorse in processi anch'essi eseguiti come NetworkService o LocalService. Alcuni di questi processi potrebbero avere la capacità di acquisire privilegi più elevati in LocalSystem, consentendo a qualsiasi processo di NetworkService o LocalService di acquisire privilegi più elevati anche in LocalSystem. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

In quale modo un utente malintenzionato può sfruttare questa vulnerabilità?  
Per sfruttare questa vulnerabilità, un utente malintenzionato deve indurre un utente connesso a eseguire del codice nel sistema. ed esegua un'applicazione appositamente predisposta per assumere il controllo completo del sistema.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?  
I sistemi maggiormente a rischio sono workstation e server terminal. I server potrebbero essere maggiormente a rischio se agli utenti privi di autorizzazioni amministrative sufficienti è consentito di accedere ai server e di eseguire programmi. Tuttavia, le procedure consigliate scoraggiano fortemente questa attribuzione di privilegi.

Tutti i sistemi che eseguono tutte le edizioni supportate di Windows XP Professional Service Pack 2, Windows XP Professional Service Pack 3 nonché tutte le versioni e le edizioni supportate di Windows Server 2003, Windows Vista e Windows Server 2008 possono essere a rischio se IIS è attivato o SQL Server è installato e configurato o distribuito in uno stato vulnerabile, come descritto nel presente bollettino.

Sono inoltre maggiormente esposti i sistemi IIS che consentono agli utenti di caricare del codice. I sistemi SQL Server sono a rischio se agli utenti non attendibili viene concesso l'accesso ad account privilegiati. Ciò potrebbe includere i provider di hosting Web o ambienti simili.

Quali sono gli scopi dell'aggiornamento?  
L'aggiornamento risolve la vulnerabilità isolando correttamente i provider WMI per garantire che essi vengano richiamati in modo sicuro.

Al momento del rilascio di questo bollettino le informazioni sulla vulnerabilità erano disponibili pubblicamente?  
Sì. Le informazioni sulla vulnerabilità sono state divulgate pubblicamente. Questa vulnerabilità è stata identificata con il codice CVE-2009-0078.

Al momento del rilascio di questo bollettino erano già stati segnalati attacchi basati sullo sfruttamento di questa vulnerabilità?  
Sì. Microsoft è a conoscenza di un limitato numero di attacchi che tentano di utilizzare questa vulnerabilità.

Per fattore attenuante si intende un'impostazione, una configurazione comune o una procedura consigliata generica esistente in uno stato predefinito in grado di ridurre la gravità nello sfruttamento di una vulnerabilità. I seguenti fattori attenuanti possono essere utili per l'utente:

• Per sfruttare questa vulnerabilità l'utente malintenzionato deve essere in grado di eseguire del codice sul computer locale.

Per soluzione alternativa si intende un'impostazione o una modifica nella configurazione che non elimina la vulnerabilità sottostante, ma consente di bloccare gli attacchi noti prima di applicare l'aggiornamento. Microsoft ha verificato le seguenti soluzioni alternative e segnala nel corso della discussione se tali soluzioni riducono la funzionalità:

• IIS 6.0 - Configurare un'identità WPI (Worker Process Identity) per un pool di applicazioni in IIS per utilizzare un account creato in IIS Manager e disattivare MSDTC

  Eseguire la procedura seguente:

  1. In IIS Manager, espandere il computer locale, espandere Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e scegliere Proprietà.
  2. Fare clic sulla scheda Identità, quindi fare clic su Configurabile. Nelle caselle Nome utente e Password, digitare il nome utente e la password dell'account all'interno del quale si desidera che operi il processo di lavoro.
  3. Aggiungere l'account utente scelto al gruppo IIS_WPG.

  La disattivazione di Distributed Transaction Coordinator consente di proteggere il sistema interessato da tentativi di sfruttamento di questa vulnerabilità. Per disabilitare Distributed Transaction Coordinator, attenersi alla seguente procedura:

  1. Fare clic su Start e scegliere Pannello di controllo. In alternativa, scegliere Impostazioni e quindi Pannello di controllo.
  2. Fare doppio clic su Strumenti di amministrazione. In alternativa, scegliere Passa alla visualizzazione classica e fare doppio clic su Strumenti di amministrazione.
  3. Fare doppio clic su Servizi.
  4. Fare doppio clic su Distributed Transaction Coordinator.
  5. Selezionare Disabilitato dall'elenco Tipo di avvio.
  6. Fare clic su Arresta (se avviato), quindi fare clic su OK.

  È anche possibile arrestare e disabilitare il servizio MSDTC digitando il comando seguente al prompt dei comandi:
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne. Un esempio è Autenticazione Windows; vedere l'articolo della Microsoft Knowledge Base 871179. La disattivazione di MSDTC impedirà alle applicazioni di utilizzare transazioni distribuite. La disattivazione di MSDTC impedirà a IIS 5.1 di essere eseguito in Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3 e a IIS 6.0 di essere eseguito in modalità compatibilità IIS 5.0. La disattivazione di MSDTC impedirà la configurazione e l'esecuzione delle applicazioni COM+.

• IIS 7.0 - Specificare un WPI per un pool di applicazioni in IIS Manager
  1. In IIS Manager, espandere il nodo server, fare clic su Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e infine fare clic su Impostazioni avanzate.
  2. Trovare la voce Identità, quindi fare clic sul pulsante … per aprire la finestra di dialogo Identità pool di applicazioni.
  3. Selezionare l'opzione Account personalizzato, quindi fare clic su Imposta per aprire la finestra di dialogo Imposta credenziali. Nelle caselle di testo per nome utente e password, digitare il Nome account e la Password scelti. Digitare nuovamente la password nella caselle di testo Conferma password, quindi fare clic su OK.

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

• IIS 7.0 - Specificare un WPI per un pool di applicazioni utilizzando l'utilità della riga di comando APPCMD.exe
  1. Da un prompt dei comandi di livello elevato, passare alla directory %systemroot%\system32\inetsrv.
  2. Eseguire il comando APPCMD.exe utilizzando la sintassi seguente, in cui string è il nome del pool di applicazioni, userName:string è il nome utente dell'account assegnato al pool di applicazioni e password:string è la password dell'account.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7.0 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

Qual è la portata o l'impatto di questa vulnerabilità?  
Si tratta di una vulnerabilità associata all'acquisizione di privilegi più elevati. Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice arbitrario con privilegi LocalSystem. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

Quali sono le cause di questa vulnerabilità?  
La vulnerabilità è dovuta a un errato isolamento da parte del servizio RPCSS dei processi eseguiti nel contesto di account NetworkService o LocalService.

Che cosa significa RPC?  
RPC (Remote Procedure Call) è un protocollo che può essere utilizzato da un'applicazione per richiedere un servizio a un programma residente in un altro computer della rete. RPC aumenta l'interoperabilità perché per i programmi che lo utilizzano non è necessario conoscere i protocolli di rete che supportano la comunicazione. In questo caso, il programma che invia la richiesta è il client, mentre quello che fornisce il servizio è il server.

Che cos'è un account NetworkService?  
Un account NetworkService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e funge da account del computer all'interno della rete. Un servizio in esecuzione nel contesto di un account NetworkService presenta le credenziali del computer ai server remoti. Per ulteriori informazioni, vedere l'articolo di MSDN NetworkService Account.

Che cos'è un account LocalService?  
Un account LocalService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e presenta delle credenziali anonime per accedere alla rete. Per ulteriori informazioni, vedere l'articolo di MSDN LocalService Account.

Che cos'è un account LocalSystem?  
Un account LocalSystem è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di ampi privilegi sul computer locale e funge da account del computer all'interno della rete. Il suo token include i SID NT AUTHORITY\SYSTEM e BUILTIN\Administrators. Tali account hanno accesso alla maggior parte degli oggetti di sistema. Un servizio in esecuzione nel contesto di un account LocalSystem eredita il contesto di protezione di Gestione controllo servizi. La maggior parte dei servizi non ha bisogno di un livello di privilegi così elevato. Per ulteriori informazioni, vedere l'articolo di MSDN LocalSystem Account.

In che modo IIS è interessato da questo problema?  
I sistemi che eseguono codice fornito dagli utenti in Internet Information Services (IIS) possono essere interessati da questo problema, ad esempio le estensioni e i filtri ISAPI, nonché il codice ASP.NET eseguito in attendibilità totale.

IIS non è interessato negli scenari seguenti:

• Le installazioni predefinite di IIS 5.1, IIS 6.0 e IIS 7.0
• ASP.NET configurato per essere eseguito con un livello di attendibilità inferiore a quella totale

In che modo SQL Server è interessato da questo problema?  
I sistemi che eseguono SQL Server possono essere interessati dal problema, nel momento in cui vengono concessi a un utente i privilegi amministrativi necessari per caricare ed eseguire codice. Un utente dotato di privilegi di amministratore per SQL Server può eseguire codice appositamente predisposto per sfruttare la vulnerabilità. Tuttavia, questo privilegio non è concesso per impostazione predefinita.

Quali altre applicazioni possono essere interessate da questa vulnerabilità?  
I sistemi che eseguono processi che caricano ed eseguono codice fornito dagli utenti con privilegio SeImpersonatePrivilege possono essere suscettibili di attacchi con acquisizione di privilegi più elevati, come descritto nel presente bollettino sulla sicurezza. L'impostazione relativa al privilegio SeImpersonatePrivilege è illustrata nell'articolo della Microsoft Knowledge Base 821546.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?  
Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice appositamente predisposto nel contesto di account NetworkService o LocalService. Tale codice potrebbe ottenere accesso a risorse in processi anch'essi eseguiti come NetworkService o LocalService. Alcuni di questi processi potrebbero avere la capacità di acquisire privilegi più elevati in LocalSystem, consentendo a qualsiasi processo di NetworkService o LocalService di acquisire privilegi più elevati anche in LocalSystem. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

In quale modo un utente malintenzionato può sfruttare questa vulnerabilità?  
Per sfruttare la vulnerabilità, è necessario che un utente malintenzionato acceda al sistema ed esegua un'applicazione appositamente predisposta per assumere il controllo completo del sistema.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?  
I sistemi maggiormente a rischio sono workstation e server terminal. I server potrebbero essere maggiormente a rischio se agli utenti privi di autorizzazioni amministrative sufficienti è consentito di accedere ai server e di eseguire programmi. Tuttavia, le procedure consigliate scoraggiano fortemente questa attribuzione di privilegi.

Tutti i sistemi che eseguono Windows XP Professional Service Pack 2, Windows XP Professional Service Pack 3 e tutte le versioni e le edizioni supportate di Windows Server 2003 possono essere a rischio se IIS è attivato o SQL Server è installato e configurato o distribuito in uno stato vulnerabile, come descritto nel presente bollettino.

Sono inoltre maggiormente esposti i sistemi IIS che consentono agli utenti di caricare del codice. I sistemi SQL Server sono a rischio se agli utenti non attendibili viene concesso l'accesso ad account privilegiati. Ciò potrebbe includere i provider di hosting Web o ambienti simili.

Quali sono gli scopi dell'aggiornamento?  
L'aggiornamento risolve la vulnerabilità isolando correttamente i processi che vengono eseguiti nel contesto di account NetworkService o LocalService.

Al momento del rilascio di questo bollettino le informazioni sulla vulnerabilità erano disponibili pubblicamente?  
Sì. Le informazioni sulla vulnerabilità sono state divulgate pubblicamente. Questa vulnerabilità è stata identificata con il codice CVE-2009-0079.

Al momento del rilascio di questo bollettino erano già stati segnalati attacchi basati sullo sfruttamento di questa vulnerabilità?  
Sì. Microsoft è a conoscenza di un limitato numero di attacchi che tentano di utilizzare questa vulnerabilità.

Per fattore attenuante si intende un'impostazione, una configurazione comune o una procedura consigliata generica esistente in uno stato predefinito in grado di ridurre la gravità nello sfruttamento di una vulnerabilità. I seguenti fattori attenuanti possono essere utili per l'utente:

• Per sfruttare questa vulnerabilità l'utente malintenzionato deve essere in grado di eseguire del codice sul computer locale. Sfruttando questa vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente del servizio LocalSystem.

Per soluzione alternativa si intende un'impostazione o una modifica nella configurazione che non elimina la vulnerabilità sottostante, ma consente di bloccare gli attacchi noti prima di applicare l'aggiornamento. Microsoft ha verificato le seguenti soluzioni alternative e segnala nel corso della discussione se tali soluzioni riducono la funzionalità:

• IIS 6.0 - Configurare un'identità WPI (Worker Process Identity) per un pool di applicazioni in IIS per utilizzare un account creato in IIS Manager e disattivare MSDTC

  Eseguire la procedura seguente:

  1. In IIS Manager, espandere il computer locale, espandere Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e scegliere Proprietà.
  2. Fare clic sulla scheda Identità, quindi fare clic su Configurabile. Nelle caselle Nome utente e Password, digitare il nome utente e la password dell'account all'interno del quale si desidera che operi il processo di lavoro.
  3. Aggiungere l'account utente scelto al gruppo IIS_WPG.

  La disattivazione di Distributed Transaction Coordinator consente di proteggere il sistema interessato da tentativi di sfruttamento di questa vulnerabilità. Per disabilitare Distributed Transaction Coordinator, attenersi alla seguente procedura:

  1. Fare clic su Start e scegliere Pannello di controllo. In alternativa, scegliere Impostazioni e quindi Pannello di controllo.
  2. Fare doppio clic su Strumenti di amministrazione. In alternativa, scegliere Passa alla visualizzazione classica e fare doppio clic su Strumenti di amministrazione.
  3. Fare doppio clic su Servizi.
  4. Fare doppio clic su Distributed Transaction Coordinator.
  5. Selezionare Disabilitato dall'elenco Tipo di avvio.
  6. Fare clic su Arresta (se avviato), quindi fare clic su OK.

  È anche possibile arrestare e disabilitare il servizio MSDTC digitando il comando seguente al prompt dei comandi:
  
  sc stop MSDTC & sc config MSDTC start= disabled

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne. Un esempio è Autenticazione Windows; vedere l'articolo della Microsoft Knowledge Base 871179. La disattivazione di MSDTC impedirà alle applicazioni di utilizzare transazioni distribuite. La disattivazione di MSDTC impedirà a IIS 5.1 di essere eseguito in Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3 e a IIS 6.0 di essere eseguito in modalità compatibilità IIS 5.0. La disattivazione di MSDTC impedirà la configurazione e l'esecuzione delle applicazioni COM+.

• IIS 7.0 - Specificare un WPI per un pool di applicazioni in IIS Manager
  1. In IIS Manager, espandere il nodo server, fare clic su Pool di applicazioni, fare clic con il pulsante destro del mouse sul pool di applicazioni e infine fare clic su Impostazioni avanzate.
  2. Trovare la voce Identità, quindi fare clic sul pulsante … per aprire la finestra di dialogo Identità pool di applicazioni.
  3. Selezionare l'opzione Account personalizzato, quindi fare clic su Imposta per aprire la finestra di dialogo Imposta credenziali. Nelle caselle di testo per nome utente e password, digitare il Nome account e la Password scelti. Digitare nuovamente la password nella caselle di testo Conferma password, quindi fare clic su OK.

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

• IIS 7.0 - Specificare un WPI per un pool di applicazioni utilizzando l'utilità della riga di comando APPCMD.exe
  1. Da un prompt dei comandi di livello elevato, passare alla directory %systemroot%\system32\inetsrv.
  2. Eseguire il comando APPCMD.exe utilizzando la sintassi seguente, in cui string è il nome del pool di applicazioni, userName:string è il nome utente dell'account assegnato al pool di applicazioni e password:string è la password dell'account.
     
     appcmd set config /section:applicationPools /
     [name='string'].processModel.identityType:SpecificUser /
     [name='string'].processModel.userName:string /
     [name='string'].processModel.password:string

  Nota Le identità del pool di applicazioni vengono aggiunte dinamicamente al gruppo IIS_WPG in IIS7.0 e non devono essere aggiunte manualmente.

  Effetto della soluzione alternativa: La gestione degli account utente aggiuntivi creati con questa soluzione alternativa risulta in un sovraccarico di lavoro amministrativo. A seconda della natura delle applicazioni che vengono eseguite in questo pool di applicazioni, la funzionalità delle applicazioni potrebbe risentirne.

Qual è la portata o l'impatto di questa vulnerabilità?  
Si tratta di una vulnerabilità associata all'acquisizione di privilegi più elevati. Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice arbitrario con privilegi LocalSystem. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

Quali sono le cause di questa vulnerabilità?  
La vulnerabilità è dovuta al fatto che Windows colloca degli elenchi di controllo di accesso (ACL) non corretti sui thread del pool di thread attuale.

Che cos'è la classe ThreadPool di Windows?  
La classe ThreadPool di Windows fornisce un pool di thread che possono essere utilizzati per inviare elementi di lavoro, elaborare I/O asincroni, attendere a nome di altri thread ed elaborare timer. Molte applicazioni creano dei thread che rimangono per la maggior parte del tempo in modalità di sospensione, nell'attesa di qualche evento. Altri thread possono accedere alla modalità di sospensione per essere riattivati periodicamente al fine di eseguire il polling di modifiche o per aggiornare le informazioni sullo stato. La creazione di pool di thread consente di utilizzare i thread in modo più efficiente fornendo all'applicazione un gruppo di thread di lavoro gestiti dal sistema. Un thread monitora lo stato di numerose operazioni di attesa in coda al pool di thread. Quando un'operazione di attesa viene completata, un thread di lavoro del pool di thread esegue la corrispondente funzione di callback. Per ulteriori informazioni, vedere l'articolo di MSDN ThreadPool Class.

Che cos'è un elenco di controllo di accesso (ACL)?  
Un elenco di controllo di accesso (ACL) è un elenco di protezioni che si applicano a un oggetto. Tale oggetto può essere un file, un processo, un evento o qualunque elemento avente un descrittore di protezione. Una voce di ACL è una voce di controllo di accesso (ACE, Access Control Entry). Esistono due tipi di elenchi di controllo di accesso: discrezionale e di sistema. Ogni ACE di ACL identifica una serie di diritti di accesso che vengono concessi, negati o verificati per un determinato trustee. Per ulteriori informazioni, vedere l'articolo di MSDN Access Control Lists.

Che cos'è un account NetworkService?  
Un account NetworkService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e funge da account del computer all'interno della rete. Un servizio in esecuzione nel contesto di un account NetworkService presenta le credenziali del computer ai server remoti. Per ulteriori informazioni, vedere l'articolo di MSDN NetworkService Account.

Che cos'è un account LocalService?  
Un account LocalService è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di privilegi minimi sul computer locale e presenta delle credenziali anonime per accedere alla rete. Per ulteriori informazioni, vedere l'articolo di MSDN LocalService Account.

Che cos'è un account LocalSystem?  
Un account LocalSystem è un account locale predefinito utilizzato da Gestione controllo servizi. Dispone di ampi privilegi sul computer locale e funge da account del computer all'interno della rete. Il suo token include i SID NT AUTHORITY\SYSTEM e BUILTIN\Administrators. Tali account hanno accesso alla maggior parte degli oggetti di sistema. Un servizio in esecuzione nel contesto di un account LocalSystem eredita il contesto di protezione di Gestione controllo servizi. La maggior parte dei servizi non ha bisogno di un livello di privilegi così elevato. Per ulteriori informazioni, vedere l'articolo di MSDN LocalSystem Account.

In che modo IIS è interessato da questo problema?  
I sistemi che eseguono codice fornito dagli utenti in Internet Information Services (IIS) possono essere interessati da questo problema, ad esempio le estensioni e i filtri ISAPI, nonché il codice ASP.NET eseguito in attendibilità totale.

IIS non è interessato negli scenari seguenti:

• Le installazioni predefinite di IIS 5.1, IIS 6.0 e IIS 7.0
• ASP.NET configurato per essere eseguito con un livello di attendibilità inferiore a quella totale

In che modo SQL Server è interessato da questo problema?  
I sistemi che eseguono SQL Server possono essere interessati dal problema, nel momento in cui vengono concessi a un utente i privilegi amministrativi necessari per caricare ed eseguire codice. Un utente dotato di privilegi di amministratore per SQL Server può eseguire codice appositamente predisposto per sfruttare la vulnerabilità. Tuttavia, questo privilegio non è concesso per impostazione predefinita.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?  
Sfruttando questa vulnerabilità, un utente malintenzionato può eseguire codice appositamente predisposto nel contesto di account NetworkService o LocalService. Tale codice potrebbe ottenere accesso a risorse in processi anch'essi eseguiti come NetworkService o LocalService. Alcuni di questi processi potrebbero avere la capacità di acquisire privilegi più elevati in LocalSystem, consentendo a qualsiasi processo di NetworkService o LocalService di acquisire privilegi più elevati anche in LocalSystem. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

In quale modo un utente malintenzionato può sfruttare questa vulnerabilità?  
Per sfruttare la vulnerabilità, è necessario che un utente malintenzionato acceda al sistema ed esegua un'applicazione appositamente predisposta per assumere il controllo completo del sistema.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?  
I sistemi maggiormente a rischio sono workstation e server terminal. I server potrebbero essere maggiormente a rischio se agli utenti privi di autorizzazioni amministrative sufficienti è consentito di accedere ai server e di eseguire programmi. Tuttavia, le procedure consigliate scoraggiano fortemente questa attribuzione di privilegi.

Tutti i sistemi che eseguono tutte le edizioni supportate di Windows Vista e Windows Server 2008 possono essere a rischio se IIS è attivato o SQL Server è installato e configurato o distribuito in uno stato vulnerabile, come descritto nel presente bollettino.

Sono inoltre maggiormente esposti i sistemi IIS che consentono agli utenti di caricare del codice. I sistemi SQL Server sono a rischio se agli utenti non attendibili viene concesso l'accesso ad account privilegiati. Ciò potrebbe includere i provider di hosting Web o ambienti simili.

Quali sono gli scopi dell'aggiornamento?  
L'aggiornamento risolve la vulnerabilità correggendo gli elenchi ACL nel thread all'interno del pool di thread.

Al momento del rilascio di questo bollettino le informazioni sulla vulnerabilità erano disponibili pubblicamente?  
Sì. Le informazioni sulla vulnerabilità sono state divulgate pubblicamente. Questa vulnerabilità è stata identificata con il codice CVE-2009-0080.

Al momento del rilascio di questo bollettino erano già stati segnalati attacchi basati sullo sfruttamento di questa vulnerabilità?  
Sì. Microsoft è a conoscenza di un limitato numero di attacchi che tentano di utilizzare questa vulnerabilità.

Tabella di riferimento

La seguente tabella contiene le informazioni relative all'aggiornamento per la protezione per questo software. Per ulteriori informazioni, consultare la sottosezione Informazioni per la distribuzione di questa sezione.

Tabella di riferimento

La seguente tabella contiene le informazioni relative all'aggiornamento per la protezione per questo software. Per ulteriori informazioni, consultare la sottosezione Informazioni per la distribuzione di questa sezione.

Nota Per tutte le versioni supportate di Windows XP Professional x64 Edition, questo aggiornamento per la protezione è uguale a quello per le versioni supportate di Windows Server 2003 x64 Edition.

Tabella di riferimento

La seguente tabella contiene le informazioni relative all'aggiornamento per la protezione per questo software. Per ulteriori informazioni, consultare la sottosezione Informazioni per la distribuzione di questa sezione.

Tabella di riferimento

La seguente tabella contiene le informazioni relative all'aggiornamento per la protezione per questo software. Per ulteriori informazioni, consultare la sottosezione Informazioni per la distribuzione di questa sezione.

Tabella di riferimento

La seguente tabella contiene le informazioni relative all'aggiornamento per la protezione per questo software. Per ulteriori informazioni, consultare la sottosezione Informazioni per la distribuzione di questa sezione.