Bollettino Microsoft sulla sicurezza MS09-035 - Moderato

Perché Microsoft ha rilasciato un nuovo bollettino in data 12 gennaio 2010?
Microsoft ha rilasciato di nuovo questo bollettino per aggiungere Windows Embedded CE 6.0 al software interessato. L'aggiornamento per Windows Embedded CE 6.0 (KB974616) è un aggiornamento cumulativo disponibile soltanto nell'Area download Microsoft. Si consiglia ai clienti che utilizzando la piattaforma Windows Embedded CE 6.0 di applicare l'aggiornamento cumulativo. Il nuovo rilascio interessa solo questo pacchetto di aggiornamento.

Perché Microsoft ha rivisto questo bollettino in data 8 settembre 2009?  
Questo bollettino è stato rivisto allo scopo di comunicare che la sezione Problemi noti legati al presente aggiornamento per la protezione, all'interno dell'articolo della Microsoft Knowledge Base 969706 associato, è stata rivista per modificare il numero dei problemi noti da KB974223 a KB974479, per offrire un aggiornamento non correlato alla protezione in grado di risolvere il problema. Gli utenti di Microsoft Visual Studio 2008 Service Pack 1 che non hanno installato l'aggiornamento per la protezione descritto in questo bollettino riceveranno automaticamente l'aggiornamento per la protezione e l'aggiornamento non correlato alla protezione tramite Microsoft Update. Gli utenti di Microsoft Visual Studio 2008 Service Pack 1 che hanno già installato l'aggiornamento per la protezione riceveranno automaticamente l'aggiornamento non correlato alla protezione tramite Windows Update. Gli utenti di Microsoft Visual Studio 2008 Service Pack 1 che hanno già installato l'aggiornamento per la protezione, non devono installarlo di nuovo. L'unico aggiornamento da installare è quello non correlato alla protezione, nel caso in cui si riscontrino i problemi descritti in KB974479.

Perché Microsoft ha rilasciato di nuovo questo bollettino in data 11 agosto 2009?
Microsoft ha rilasciato un nuovo bollettino per offrire nuovi aggiornamenti per le piattaforme seguenti:

• Microsoft Visual Studio 2005 Service Pack 1 (KB973673)
• Microsoft Visual Studio 2008 (KB973674)
• Microsoft Visual Studio 2008 Service Pack 1 (KB973675)

I nuovi aggiornamenti per la protezione sono destinati agli sviluppatori che utilizzano Visual Studio per creare componenti e controlli per applicazioni mobili utilizzando ATL per dispositivi Smart Device. Tutti gli sviluppatori di Visual Studio devono installare i nuovi aggiornamenti in modo da utilizzare Visual Studio per creare componenti e controlli che non sono vulnerabili ai problemi segnalati.

Per ulteriori informazioni su questo problema, consultare l'articolo della Microsoft Knowledge Base 969706.

Perché Microsoft ha rivisto il bollettino in data 4 agosto 2009?  
Questo bollettino è stato rivisto per comunicare che la sezione Problemi noti legati al presente aggiornamento per la protezione nell'articolo della Microsoft Knowledge Base associato 969706 è stata rivista e che la logica del rilevamento aggiornamenti per KB973923 e KB973924 è stato rivista per correggere un problema relativo all'offerta ripetuta del pacchetto. La logica di rilevamento originale determinava se era necessario installare l'aggiornamento controllando se l'aggiornamento era già stato installato. I Visual C++ Redistributable Package (KB973544, KB973551, KB973552), disponibili dall'Area download Microsoft, sono un soprainsieme completo dei pacchetti di aggiornamento ATL corrispondenti (KB973923, KB973924), disponibili solo in Microsoft Update. I clienti che hanno installato la versione aggiornata di Visual C++ Redistributable Package non devono installare i pacchetti di aggiornamento ATL corrispondenti. Le modifiche al rilevamento ne tengono conto e non offrono ripetutamente i pacchetti di aggiornamento ATL quando la versione corretta corrispondente dell'aggiornamento di Visual C++ Redistributable è stata già installata. Inoltre, è stata aggiunta una nuova voce alla sezione Domande frequenti sull'aggiornamento per la protezione per chiarire la differenza tra i Visual C++ Redistributable Package e gli altri aggiornamenti di Visual Studio. Le organizzazioni che non utilizzano Microsoft Update per la distribuzione degli aggiornamenti e che devono distribuire gli aggiornamenti offerti da questo bollettino con altre modalità possono scaricare e distribuire i Visual C++ Redistributable Package completi poiché costituiscono un soprainsieme completo dei pacchetti di aggiornamento ATL corrispondenti.

Qual è la differenza tra i Visual C++ Redistributable Package e gli altri aggiornamenti di Visual Studio?  
I Visual C++ Redistributable Package sono versioni complete di questo prodotto che possono essere ridistribuite da qualsiasi utente mediante le proprie applicazioni. I clienti che devono inviare i pacchetti Visual C++ Redistributable devono selezionarli e aggregarli all'interno delle proprie installazioni. Gli altri aggiornamenti di Visual Studio sono disponibili per i clienti che in precedenza hanno installato una versione precedente del prodotto Visual C++ Redistributable o hanno installato il prodotto Visual Studio. Questi pacchetti di aggiornamento sono offerti ai clienti mediante Microsoft Update e sono applicabili soltanto in presenza di una versione precedente di Visual C++ Redistributable o di Visual Studio.

Perché i numeri KB degli aggiornamenti dell'Area download Microsoft per Visual C++ Redistributable Package differiscono quelli per SMS, SCCM, WSUS e MU?  
Le versioni complete dei Redistributable Package corretti per Visual C++ 2005 e 2008 (KB973544, KB973551 e KB973552) sono elencate nell'Area download Microsoft soltanto perché sono versioni nuove e complete dei prodotti. Gli aggiornamenti elencati in SMS, SCCM, WSUS e MU (KB973923, KB9739234) valgono solo per i clienti che in precedenza hanno installato versioni vulnerabili dei Redistributable Package per Visual C++. Questi aggiornamenti non sono le versioni contenute nell'Area download. Microsoft sconsiglia ai clienti di distribuire versioni diverse dalle versioni complete che possono essere scaricate dall'Area download Microsoft (KB973544, KB973551 e KB973552).

Perché questo aggiornamento per la protezione è stato rilasciato a titolo straordinario?  
Questo aggiornamento per la protezione è rilasciato a titolo straordinario per risolvere i problemi resi pubblici nell'Advisory Microsoft sulla sicurezza (973882), "Alcune vulnerabilità in Microsoft Active Template Library (ATL) potrebbero consentire l'esecuzione di codice in modalità remota".

Qual è la relazione tra questo bollettino e le vulnerabilità descritte nell'Advisory Microsoft sulla sicurezza (973882)?
Questo bollettino risolve le vulnerabilità nella versione pubblica di ATL (Active Template Library). Alcune vulnerabilità nella versione privata di ATL sono descritte nell'Advisory Microsoft sulla sicurezza (973882).

Se si tratta di vulnerabilità legate all'esecuzione di codice in modalità remota, perché questo bollettino è considerato di livello moderato soltanto?  
Questo bollettino è considerato di livello moderato perché Microsoft Visual Studio, per impostazione predefinita, non è interessato da queste vulnerabilità. Sono i controlli e i componenti creati utilizzando una ATL interessata ad essere vulnerabili, e se interessati, sarebbero considerati di livello critico o moderati a seconda del tipo di vulnerabilità presente nel controllo o nel componente.

Gli utenti Visual Studio sono direttamente interessati da queste vulnerabilità?  
No. L'esistenza di Visual Studio sul proprio sistema non rende vulnerabili a questo problema.

L'aggiornamento associato a questo bollettino è inteso per gli sviluppatori che creano componenti e controlli in modo tale da utilizzare Visual Studio per creare componenti e controlli che non sono vulnerabili ai problemi segnalati. Soltanto i componenti e i controlli vulnerabili sviluppati con una versione ATL interessata sono interessati da questo problema. Gli sviluppatori che hanno creato o ridistribuito i componenti e i controlli creati con le versioni interessate di ATL dovrebbero installare l'aggiornamento fornito in questo bollettino e seguire la procedura descritta per assicurare che i propri componenti e controlli non contengano le vulnerabilità descritte in questo bollettino.

Quali versioni di ActiveTemplate Library sono interessate da queste vulnerabilità?
Le versioni 7.0, 7.1, 8.0, e 9.0 sono interessate. Tutti le altre versioni non sono supportate.

Quali versioni di Visual Studio sono interessate?
Per ulteriori informazioni, vedere Software interessato e Software non interessato in questo Bollettino Microsoft sulla sicurezza.

Questo aggiornamento per la protezione si riferisce a MS09-034, rilasciato anche come aggiornamento straordinario?  
Sì. Il bollettino Microsoft sulla sicurezza MS09-034, "Aggiornamento cumulativo per la protezione di Internet Explorer" contiene una risoluzione che contribuisce ad evitare che i componenti e controlli creati utilizzando una ATL vulnerabile vengano sfruttati in Internet Explorer, e risolve inoltre altre diverse vulnerabilità che non sono connesse. Il sistema di difesa offerto in MS09-034 contiene aggiornamenti a Internet Explorer 5.01, Internet Explorer 6 e Internet Explorer 6 Service Pack 1, Internet Explorer 7 e Internet Explorer 8, che monitorano e aiutano ad evitare che tutte le vulnerabilità ATL pubbliche e private vengano sfruttate con successo, incluse le vulnerabilità che potrebbero portare ad ignorare la funzione di protezione dei kill bit di ActiveX. Queste protezioni sono progettate per difendere gli utenti da attacchi basati su Web.

È necessario installare questo aggiornamento se si è già installato l'MS09-034  
Questo aggiornamento per la protezione è esplicitamente rivolto agli sviluppatori di componenti e controlli. Gli sviluppatori che hanno creato o ridistribuito i componenti e i controlli creati con le versioni interessate di ATL (Active Template Library) dovrebbero installare l'aggiornamento fornito in questo bollettino e seguire la procedura descritta per assicurare che i propri componenti e controlli non contengano le vulnerabilità descritte in questo bollettino.

Se si è installato l'aggiornamento MS09-034, è necessario che vengano installati tuttavia i componenti e controlli aggiuntivi emessi da Microsoft o terze parti che risolvono le vulnerabilità descritte nell'Advisory Microsoft sulla sicurezza 973882 e nel bollettino Microsoft sulla sicurezza MS09-035?  
La risoluzione di Internet Explorer MS09-034 non risolve le vulnerabilità sottostanti all'interno di certi componenti e controlli sviluppato con Active Template Library. Microsoft consiglia agli sviluppatori di attenersi alla procedura riportata in questo bollettino per modificare e ricreare tutti i componenti e i controlli interessati dalle vulnerabilità descritte in questo bollettino.

Dove si trova la sezione Informazioni sui file?  
Fare riferimento alle tabelle contenute nella sezione Distribuzione dell'aggiornamento per la protezione per individuare la sezione Informazioni sui file.

Che cosa significa ATL?
ATL (Active Template Library) è una serie di classi C++ basate su modelli che permettono di creare velocemente oggetti Component Object Model (COM) di piccole dimensioni. Prevede un supporto speciale delle funzionalità COM principali, incluso implementazioni stock, interfacce doppie, interfacce con enumeratore COM standard, punti di connessione, interfacce tear-off e controlli ActiveX. Per ulteriori informazioni, vedere il seguente articolo di MSDN.

I componenti e i controlli di terze parti sono interessati da questo problema?
Alcuni componenti e controlli di terze parti potrebbero essere interessati da questo problema se fossero soddisfatte alcune condizioni durante la creazione dei componenti e dei controlli. Microsoft consiglia agli sviluppatori di attenersi alla procedura riportata in questo bollettino per modificare e ricreare tutti i componenti e i controlli interessati dalle vulnerabilità descritte in questo bollettino.

Sono uno sviluppatore di applicazioni di terze parti e utilizzo ATL nei miei componenti e controlli. I miei componenti ed i controlli sono vulnerabili, e in caso positivo, come posso eseguire l'aggiornamento?  
Per maggiori informazioni su come determinare se i componenti e controlli siano vulnerabili e come effettuare l'aggiornamento, vedere l'articolo MSDN seguente.

Perché questo aggiornamento affronta diverse vulnerabilità di protezione segnalate?  
L'aggiornamento supporta diverse vulnerabilità perché le modifiche necessarie per risolvere tali problemi si trovano in file correlati. Anziché dover installare diversi aggiornamenti quasi identici, è possibile installare solo il presente aggiornamento.

Se si utilizza una versione precedente del software discusso nel presente bollettino, che cosa è necessario fare?  
I prodotti software elencati in questo bollettino sono stati sottoposti a test per determinare quali versioni sono interessate dalla vulnerabilità. Le altre versioni sono al termine del ciclo di vita del supporto. Per informazioni sulla disponibilità del supporto per la versione del software in uso, visitare il sito Web Ciclo di vita del supporto Microsoft.

Per evitare di esporre i propri sistemi a potenziali vulnerabilità, si raccomanda ai clienti che utilizzano versioni precedenti del software di eseguire quanto prima la migrazione a versioni supportate. Per ulteriori informazioni sul ciclo di vita dei prodotti Windows, visitare il sito Web Ciclo di vita del supporto Microsoft. Per ulteriori informazioni sul periodo di supporto esteso per gli aggiornamenti per la protezione di queste versioni o edizioni del software, visitare il sito Web del Servizio Supporto Tecnico Clienti Microsoft.

I clienti che hanno ancora la necessità di servizi di supporto per versioni precedenti sono invitati a contattare il loro rappresentante del team Microsoft, il responsabile tecnico dei rapporti con i clienti oppure il rappresentante del partner Microsoft appropriato per informazioni sui servizi di supporto personalizzati. I clienti che non dispongono di un contratto Alliance, Premier o Authorized possono contattare le filiali Microsoft locali. Per informazioni sui contatti, visitare il sito Web Microsoft Worldwide, selezionare il Paese desiderato e fare clic su Go per visualizzare un elenco di numeri telefonici. Quando si effettua la chiamata, richiedere di parlare con il responsabile locale delle vendite per i servizi di supporto Premier. Per ulteriori informazioni, vedere le domande frequenti sul ciclo di vita del supporto per i sistemi operativi Windows.

Sono uno sviluppatore e ho delle domande relative a questo problema non descritte in questo bollettino Microsoft sulla sicurezza. Che cosa è possibile fare?
Come parte della nostra risposta a questo problema, Microsoft offre del contenuto specifico per gli sviluppatori e collegamenti ai forum per fare rispondere le proprie domande dalle risorse Microsoft e dalla community degli sviluppatori di Microsoft. Per ulteriori informazioni, vedere il seguente articolo MSDN.

I seguenti livelli di gravità presuppongono il livello massimo di impatto potenziale della vulnerabilità. Per informazioni relative al rischio, entro 30 giorni dalla pubblicazione del presente bollettino sulla sicurezza, di sfruttamento della vulnerabilità in relazione al livello di gravità e all'impatto sulla protezione, vedere l'Exploitability Index nel riepilogo dei bollettini di luglio. Per ulteriori informazioni, vedere Microsoft Exploitability Index.

Una vulnerabilità legata all'esecuzione di codice in modalità remota esiste in Microsoft Active Template Library (ATL) a causa di un problema nelle intestazioni ATL che potrebbe consentire ad un utente malintenzionato di forzare la chiamata di VariantClear su una VARIANTE che non è stata inizializzata correttamente. A causa di questo problema, l'utente malintenzionato può controllare ciò che succede nella chiamata di VariantClear durante la gestione di un errore fornendo un flusso corrotto. Questa vulnerabilità interessa direttamente soltanto i sistemi con componenti e controlli installati che sono stati creati utilizzando ATL di Visual Studio. Questo problema può consentire a un utente malintenzionato remoto e non autenticato di eseguire del codice in modalità remota su un sistema interessato. Un utente malintenzionato potrebbe sfruttare la vulnerabilità creando una pagina Web dannosa. Se un utente visualizza la pagina Web, la vulnerabilità potrebbe consentire l'esecuzione di codice in modalità remota.

Per visualizzare questa vulnerabilità come voce standard nell'elenco CVE, vedere il codice CVE-2009-0901.

Una vulnerabilità legata all'esecuzione di codice in modalità remota esiste in Microsoft Active Template Library (ATL) a causa di un problema nelle intestazioni ATL che gestiscono la creazione di istanze di un oggetto dai flussi di dati. Questa vulnerabilità interessa direttamente soltanto i sistemi con componenti e controlli installati che sono stati creati utilizzando ATL di Visual Studio. Per i componenti e controlli creati utilizzando ATL, l'utilizzo non sicuro di OleLoadFromStream potrebbe consentire la creazione di istanze di oggetti arbitrari che riescono ad evitare i relativi criteri di protezione, quali i kill bit all'interno di Internet Explorer. Questo problema può consentire a un utente malintenzionato remoto e non autenticato di eseguire del codice in modalità remota su un sistema interessato. Un utente malintenzionato potrebbe sfruttare la vulnerabilità creando una pagina Web dannosa. Se un utente visualizza la pagina Web, la vulnerabilità potrebbe consentire l'esecuzione di codice in modalità remota.

Per visualizzare questa vulnerabilità come voce standard nell'elenco CVE, vedere il codice CVE-2009-2493.

Una vulnerabilità legata all'intercettazione di informazioni personali esiste in Microsoft Active Template Library (ATL) che potrebbe consentire la lettura di una stringa senza che sia terminata da un carattere NULL. Un utente malintenzionato potrebbe manipolare questa stringa per leggere altri dati oltre la fine della stringa e divulgare così informazioni intercettate nella memoria. Questa vulnerabilità interessa direttamente soltanto i sistemi con componenti e controlli installati che sono stati creati utilizzando ATL di Visual Studio. Un utente malintenzionato in grado di sfruttare questa vulnerabilità può eseguire un componente o controllo dannoso in grado di divulgare informazioni, inoltrare i dati utente a terze parti o accedere a tutti i dati sui sistemi interessati che erano accessibili all'utente connesso. Si noti che questa vulnerabilità non consente di eseguire codice o acquisire direttamente diritti utente più elevati, ma può essere utilizzata per produrre informazioni utili al fine di compromettere ulteriormente il sistema interessato.

Per visualizzare questa vulnerabilità come voce standard nell'elenco CVE, vedere il codice CVE-2009-2495.

Le seguenti Informazioni sul rilevamento e sulla distribuzione forniscono informazioni su come assicurare che le versioni di Visual Studio in questo bollettino sulla sicurezza siano state aggiornate con le intestazioni ATL che risolvono le vulnerabilità descritte precedentemente.

Gestione del software e degli aggiornamenti per la protezione necessari per la distribuzione su server, desktop e sistemi portatili dell'organizzazione. Per ulteriori informazioni, vedere il sito Web TechNet Update Management Center. Nel sito Web Sicurezza di Microsoft TechNet sono disponibili ulteriori informazioni sulla protezione e la sicurezza dei prodotti Microsoft.

Gli aggiornamenti per la protezione sono disponibili dai siti Web Microsoft Update e Windows Update. Gli aggiornamenti per la protezione sono anche disponibili nell'Area download Microsoft ed è possibile individuarli in modo semplice eseguendo una ricerca con la parola chiave "aggiornamento per la protezione".

Infine, gli aggiornamenti per la protezione possono essere scaricati dal catalogo di Microsoft Update. Il catalogo di Microsoft Update è uno strumento che consente di eseguire ricerche, disponibile tramite Windows Update e Microsoft Update, che comprende aggiornamenti per la protezione, driver e service pack. Se si cerca in base al numero del bollettino sulla sicurezza (ad esempio, "MS07-036"), è possibile aggiungere tutti gli aggiornamenti applicabili al carrello (inclusi aggiornamenti in lingue diverse) e scaricarli nella cartella specificata. Per ulteriori informazioni sul catalogo di Microsoft Update, vedere le domande frequenti sul catalogo di Microsoft Update.

Note A partire dal 1 agosto, 2009, Microsoft non offrirà più alcun supporto per Office Update e Office Update Inventory Tool. Per continuare a ricevere gli ultimi aggiornamenti per i prodotti Microsoft Office, utilizzare Microsoft Update. Per ulteriori informazioni, vedere Informazioni su Microsoft Office Update: Domande frequenti.

Informazioni sul rilevamento e sulla distribuzione

Microsoft fornisce informazioni sul rivelamento e la distribuzione degli aggiornamenti sulla protezione. Questa guida contiene raccomandazioni e informazioni che possono aiutare i professionisti IT a capire come utilizzare i vari strumenti per il rilevamento e la distribuzione di aggiornamenti per la protezione. Per ulteriori informazioni, vedere l'articolo della Microsoft Knowledge Base 961747.

Microsoft Baseline Security Analyzer

Microsoft Baseline Security Analyzer (MBSA) consente di eseguire la scansione di sistemi locali e remoti, al fine di rilevare eventuali aggiornamenti di protezione mancanti, nonché i più comuni errori di configurazione della protezione. Per ulteriori informazioni su MBSA, visitare il sito Microsoft Baseline Security Analyzer.

La seguente tabella contiene le informazioni di riepilogo sul rilevamento MBSA dell'aggiornamento per la protezione.

Per ulteriori informazioni su MBSA 2.1, vedere Domande frequenti su MBSA 2.1.

Windows Server Update Services

Utilizzando Windows Server Update Services (WSUS), gli amministratori possono eseguire la distribuzione dei più recenti aggiornamenti critici e per la protezione nei sistemi operativi Windows 2000 e versioni successive, Office XP e versioni successive, Exchange Server 2003 e SQL Server 2000. Per ulteriori informazioni su come eseguire la distribuzione di questo aggiornamento per la protezione con Windows Server Update Services, visitare il sito Web Windows Server Update Services.

Systems Management Server

La seguente tabella contiene le informazioni di riepilogo sul rilevamento SMS e sulla distribuzione dell'aggiornamento per la protezione.

Per SMS 2.0 e SMS 2003, è possibile utilizzare SMS SUS Feature Pack (SUSFP), che comprende Security Update Inventory Tool (SUIT), per rilevare gli aggiornamenti per la protezione. Vedere anche i download per Systems Management Server 2.0.

SMS 2003 Inventory Tool for Microsoft Updates (ITMU) può essere utilizzato in SMS 2003 per il rilevamento tramite SMS degli aggiornamenti per la protezione disponibili in Microsoft Update e supportati da Windows Server Update Services. Per ulteriori informazioni su SMS 2003 ITMU, vedere SMS 2003 Inventory Tool for Microsoft Updates. SMS 2003 può identificare gli aggiornamenti necessari per le applicazioni di Microsoft Office anche tramite Microsoft Office Inventory Tool. Per ulteriori informazioni su Office Inventory Tool e gli altri strumenti di analisi, vedere SMS 2003 Software Update Scanning Tools. Vedere anche i download per Systems Management Server 2003.

System Center Configuration Manager 2007 utilizza WSUS 3.0 per il rilevamento degli aggiornamenti. Per ulteriori informazioni sulla Gestione aggiornamenti software di Configuration Manager 2007, visitare System Center Configuration Manager 2007.

Per ulteriori informazioni su SMS, visitare il sito Web SMS.

Per ulteriori informazioni, vedere l'articolo della Microsoft Knowledge Base 910723: Elenco di riepilogo degli articoli mensili relativi alle informazioni sul rilevamento e sulla distribuzione.

Update Compatibility Evaluator e Application Compatibility Toolkit

Gli aggiornamenti vanno spesso a sovrascrivere gli stessi file e le stesse impostazioni del Registro di sistema che sono necessari per eseguire le applicazioni. Ciò può scatenare delle incompatibilità e aumentare il tempo necessario per installare gli aggiornamenti per la protezione. Il programma Update Compatibility Evaluator, incluso nell'Application Compatibility Toolkit 5.0, consente di semplificare il testing e la convalida degli aggiornamenti di Windows, verificandone la compatibilità con le applicazioni già installate.

L'Application Compatibility Toolkit (ACT) contiene gli strumenti e la documentazione necessari per valutare e attenuare i problemi di compatibilità tra le applicazioni prima di installare Microsoft Windows Vista, un aggiornamento di Windows, un aggiornamento Microsoft per la protezione o una nuova versione di Windows Internet Explorer nell'ambiente in uso.

Software interessato

Per informazioni sull'aggiornamento per la protezione specifico per il software interessato, fare clic sul collegamento corrispondente: