Bollettino Microsoft sulla sicurezza MS09-016 - Importante
Alcune vulnerabilità in Microsoft ISA Server e Forefront Threat Management Gateway (Medium Business Edition) possono causare attacchi di tipo Denial of Service (961759)
Data di pubblicazione: | Aggiornamento:
Versione: 1.2
Informazioni generali
Riepilogo
Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente e una vulnerabilità divulgata pubblicamente di Microsoft Internet Security and Acceleration (ISA) Server e Microsoft Forefront Threat Management Gateway (TMG), Medium Business Edition (MBE). Queste vulnerabilità possono causare attacchi di tipo Denial of Service, se un utente malintenzionato invia un pacchetto di rete appositamente predisposto al sistema interessato. Possono inoltre provocare l'intercettazione di informazioni personali o lo spoofing, nel momento in cui un utente seleziona un URL dannoso o visita un sito Web il cui contenuto è controllato dall'utente malintenzionato.
Questo aggiornamento per la protezione è considerato di livello importante per Forefront TMG MBE, ISA Server 2004 e ISA Server 2006. Per ulteriori informazioni, vedere la sottosezione Software interessato e Software non interessato all'interno di questa sezione.
L'aggiornamento per la protezione risolve le vulnerabilità modificando il modo in cui il motore del firewall gestisce lo stato TCP e il modo in cui l'autenticazione dei moduli HTTP gestisce l'input. Per ulteriori informazioni sulle vulnerabilità, cercare la voce specifica nella sottosezione Domande frequenti della sezione Informazioni sulle vulnerabilità.
Raccomandazione. Microsoft consiglia di installare l'aggiornamento quanto prima.
Problemi noti. L'articolo della Microsoft Knowledge Base 961759 descrive i problemi attualmente conosciuti che gli utenti potrebbero riscontrare installando questo aggiornamento per la protezione. L'articolo illustra inoltre le soluzioni consigliate in grado di risolvere questi problemi. Quando i problemi noti e le soluzioni consigliate si riferiscono solo a determinate versioni di questo software, nell'articolo vengono forniti collegamenti ad altri articoli.
Software interessato e Software non interessato
Il seguente software è stato sottoposto a test per determinare quali versioni o edizioni siano interessate. Le altre versioni o edizioni non sono interessate dalla vulnerabilità o sono al termine del ciclo di vita del supporto. Per informazioni sulla disponibilità del supporto per la versione o l'edizione del software in uso, visitare il sito Web Ciclo di vita del supporto Microsoft.
Software interessato
| Software | Livello massimo di impatto sulla protezione | Livello di gravità aggregato | Bollettini sostituiti da questo aggiornamento |
|---|---|---|---|
| Microsoft Forefront Threat Management Gateway, Medium Business Edition* (KB968075) | Denial of Service | Importante | Nessuno |
| Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3** (KB960995) | Denial of Service | Importante | Nessuno |
| Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3 (KB960995) | Denial of Service | Importante | Nessuno |
| Microsoft Internet Security and Acceleration Server 2006 (KB968078) | Denial of Service | Importante | Nessuno |
| Microsoft Internet Security and Acceleration Server 2006 Supportability Update (KB968078) | Denial of Service | Importante | Nessuno |
| Microsoft Internet Security and Acceleration Server 2006 Service Pack 1 (KB968078) | Denial of Service | Importante | Nessuno |
*Microsoft Forefront TMG MBE viene fornito sia come prodotto autonomo sia come componente di Windows Essential Business Server 2008.
**Microsoft ISA Server 2004 Standard Edition viene fornito come prodotto autonomo. Microsoft ISA Server 2004 Standard Edition viene anche fornito come componente di Windows Small Business Server 2003 Premium Edition Service Pack 1 e Windows Small Business Server 2003 R2 Premium Edition.
Software non interessato
| Software |
|---|
| Microsoft Internet Security and Acceleration Server 2000 Service Pack 2 |
Domande frequenti sull'aggiornamento per la protezione
Informazioni sulle vulnerabilità
Livelli di gravità e identificatori della vulnerabilità
Vulnerabilità legata agli attacchi di tipo Denial of Service per lo stato TCP del proxy Web - CVE-2009-0077
Vulnerabilità di cross-site scripting - CVE-2009-0237
Informazioni sull'aggiornamento
Strumenti e informazioni sul rilevamento e sulla distribuzione
Distribuzione dell'aggiornamento per la protezione
Altre informazioni
Ringraziamenti
Microsoft ringrazia i seguenti utenti per aver collaborato alla protezione dei sistemi dei clienti:
- New York State Chief Information Officer / Office for Technology per aver segnalato la vulnerabilità di cross-site scripting (CVE-2009-0237)
Microsoft Active Protections Program (MAPP)
Per migliorare il livello di protezione offerto ai clienti, Microsoft fornisce ai principali fornitori di software di protezione i dati relativi alle vulnerabilità in anticipo rispetto alla pubblicazione mensile dell'aggiornamento per la protezione. I fornitori di software di protezione possono servirsi di tali dati per fornire ai clienti delle protezioni aggiornate tramite software o dispositivi di protezione, quali antivirus, sistemi di rilevamento delle intrusioni di rete o sistemi di prevenzione delle intrusioni basati su host. Per verificare se tali protezioni attive sono state rese disponibili dai fornitori di software di protezione, visitare i siti Web relativi alle protezioni attive pubblicati dai partner del programma, che sono elencati in Microsoft Active Protections Program (MAPP) Partners.
Supporto
- Per usufruire dei servizi del supporto tecnico, visitare il sito Web del Security Support. Le chiamate al supporto tecnico relative agli aggiornamenti per la protezione sono gratuite. Per ulteriori informazioni sulle opzioni di supporto disponibili, visitare il sito Microsoft Aiuto & Supporto.
- I clienti internazionali possono ottenere assistenza tecnica presso le filiali Microsoft locali. Il supporto relativo agli aggiornamenti di protezione è gratuito. Per ulteriori informazioni su come contattare Microsoft per ottenere supporto, visitare il sito Web del supporto internazionale.
Dichiarazione di non responsabilità
Le informazioni disponibili nella Microsoft Knowledge Base sono fornite "come sono" senza garanzie di alcun tipo. Microsoft non rilascia alcuna garanzia, esplicita o implicita, inclusa la garanzia di commerciabilità e di idoneità per uno scopo specifico. Microsoft Corporation o i suoi fornitori non saranno, in alcun caso, responsabili per danni di qualsiasi tipo, inclusi i danni diretti, indiretti, incidentali, consequenziali, la perdita di profitti e i danni speciali, anche qualora Microsoft Corporation o i suoi fornitori siano stati informati della possibilità del verificarsi di tali danni. Alcuni stati non consentono l'esclusione o la limitazione di responsabilità per danni diretti o indiretti e, dunque, la sopracitata limitazione potrebbe non essere applicabile.
Versioni
- V1.0 (14 aprile 2009): Pubblicazione del bollettino.
- V1.1 (22 aprile 2009): sono state corrette le voci di controllo delle chiavi del registro di sistema nelle tabelle di riferimento per la distribuzione di ISA Server 2004 e ISA Server 2006.
- V1.2 (23 luglio 2009): È stato aggiunto un collegamento all'articolo della Microsoft Knowledge Base 961759 nella sottosezione Problemi noti del Riepilogo.