Bollettino Microsoft sulla sicurezza MS11-027 - Critico

Aggiornamento cumulativo per la protezione dei kill bit di ActiveX (2508272)

Data di pubblicazione: | Aggiornamento:

Versione: 1.1

Informazioni generali

Riepilogo

Questo aggiornamento per la protezione risolve due vulnerabilità segnalate privatamente e una vulnerabilità divulgata pubblicamente relative al software Microsoft. Queste vulnerabilità possono consentire l'esecuzione di codice in modalità remota se un utente visualizza una pagina Web appositamente predisposta che crea un'istanza di un controllo ActiveX con Internet Explorer. Pertanto, gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione. Questo aggiornamento contiene anche i kill bit per tre controlli ActiveX di terze parti.

Questo aggiornamento per la protezione è considerato Critico per tutte le edizioni supportate di Windows XP, Windows Vista e Windows 7 e Moderato per tutte le edizioni supportate di Windows Server 2003 (eccetto le edizioni basate su Itanium), Windows Server2008 (eccetto le edizioni basate su Itanium) e Windows Server 2008 R2. Per le edizioni basate su Itanium di Windows Server 2003 e Windows Server 2008, questo aggiornamento per la protezione non presenta alcun livello di gravità. Per ulteriori informazioni, vedere la sottosezione Software interessato e Software non interessato all'interno di questa sezione.

L'aggiornamento per la protezione risolve le vulnerabilità impostando i kill bit in modo tale che i controlli vulnerabili non vengano eseguiti in Internet Explorer. Per ulteriori informazioni su tali vulnerabilità, vedere le sottosezioni Domande frequenti all'interno della sezione successiva Informazioni sulle vulnerabilità.

Raccomandazione. Se la funzionalità Aggiornamenti automatici è abilitata, gli utenti non devono intraprendere alcuna azione, poiché questo aggiornamento per la protezione viene scaricato e installato automaticamente. Gli utenti che non hanno attivato la funzionalità Aggiornamenti automatici devono verificare la disponibilità di aggiornamenti e installare questo aggiornamento manualmente. Per informazioni sulle opzioni di configurazione specifiche relative agli aggiornamenti automatici, vedere l'articolo della Microsoft Knowledge Base 294871.

Per gli amministratori e le installazioni delle organizzazioni o gli utenti finali che desiderano installare manualmente questo aggiornamento per la protezione, Microsoft consiglia di applicare immediatamente l'aggiornamento utilizzando il software di gestione degli aggiornamenti o verificando la disponibilità degli aggiornamenti tramite il servizio Microsoft Update.

Vedere anche la sezione, Strumenti e informazioni sul rilevamento e sulla distribuzione, riportata di seguito nel presente bollettino.

Problemi noti. Nessuno

Software interessato e Software non interessato

Il seguente software è stato sottoposto a test per determinare quali versioni o edizioni siano interessate. Le altre versioni o edizioni non sono interessate dalla vulnerabilità o sono al termine del ciclo di vita del supporto. Per informazioni sulla disponibilità del supporto per la versione o l'edizione del software in uso, visitare il sito Web Ciclo di vita del supporto Microsoft.

Software interessato

Sistema operativoLivello massimo di impatto sulla protezioneLivello di gravità aggregatoBollettini sostituiti da questo aggiornamento
Windows XP Service Pack 3Esecuzione di codice in modalità remotaCriticoMS10-034
Windows XP Professional x64 Edition Service Pack 2Esecuzione di codice in modalità remotaCriticoMS10-034
Windows Server 2003 Service Pack 2Esecuzione di codice in modalità remotaModeratoMS10-034
Windows Server 2003 x64 Edition Service Pack 2Esecuzione di codice in modalità remotaModeratoMS10-034
Windows Server 2003 con SP2 per sistemi ItaniumNessunoNessun livello di gravità[1]MS10-034
Windows Vista Service Pack 1 e Windows Vista Service Pack 2Esecuzione di codice in modalità remotaCriticoMS10-034
Windows Vista x64 Edition Service Pack 1 e Windows Vista x64 Edition Service Pack 2Esecuzione di codice in modalità remotaCriticoMS10-034
Windows Server 2008 per sistemi 32-bit e Windows Server 2008 per sistemi 32-bit Service Pack 2**Esecuzione di codice in modalità remotaModeratoMS10-034
Windows Server 2008 per sistemi x64 e Windows Server 2008 per sistemi x64 Service Pack 2**Esecuzione di codice in modalità remotaModeratoMS10-034
Windows Server 2008 per sistemi Itanium e Windows Server 2008 per sistemi Itanium Service Pack 2NessunoNessun livello di gravità[1]MS10-034
Windows 7 per sistemi a 32 bitEsecuzione di codice in modalità remotaCriticoMS10-034
Windows 7 per sistemi a 32 bit Service Pack 1Esecuzione di codice in modalità remotaCriticoNessuno
Windows 7 per sistemi x64Esecuzione di codice in modalità remotaCriticoMS10-034
Windows 7 per sistemi x64 Service Pack 1Esecuzione di codice in modalità remotaCriticoNessuno
Windows Server 2008 R2 per sistemi x64**Esecuzione di codice in modalità remotaModeratoMS10-034
Windows Server 2008 R2 per sistemi x64 Service Pack 1**Esecuzione di codice in modalità remotaModeratoNessuno
Windows Server 2008 R2 per sistemi ItaniumEsecuzione di codice in modalità remotaModeratoMS10-034
Windows Server 2008 R2 per sistemi Itanium Service Pack 1Esecuzione di codice in modalità remotaModeratoNessuno

[1]Le vulnerabilità non interessano questo sistema operativo specifico. Tuttavia, gli aggiornamenti disponibili che impostano i kill bit per i controlli di terze parti sono applicabili a diversi sistemi operativi, compreso questo. Per ulteriori informazioni, vedere la sottosezione "Kill bit di terze parti" nella sezione Informazioni sulle vulnerabilità.

**Le installazioni di Server Core non sono interessate. Le vulnerabilità affrontate da questo aggiornamento non interessano le edizioni supportate di Windows Server 2008 o Windows Server 2008 R2 come indicato, se sono state installate mediante l'opzione di installazione Server Core. Per ulteriori informazioni su questa modalità di installazione, vedere gli articoli di TechNet, Gestione dell'installazione dei componenti di base del server e Manutenzione dell'installazione dei componenti di base del server. Si noti che l'opzione di installazione di Server Core non è disponibile per alcune edizioni di Windows Server 2008 e Windows Server 2008 R2; vedere Opzioni di installazione Server Core a confronto.

Domande frequenti sull'aggiornamento per la protezione

Informazioni sulle vulnerabilità

Livelli di gravità e identificatori della vulnerabilità

Vulnerabilità degli strumenti per gli sviluppatori di Microsoft Internet Explorer 8 - CVE-2010-0811

Vulnerabilità legata al controllo ActiveX degli strumenti WMI di Microsoft - CVE-2010-3973

Vulnerabilità legata al controllo ActiveX di Microsoft Windows Messenger – CVE-2011-1243

Kill bit di terze parti

Informazioni sull'aggiornamento

Strumenti e informazioni sul rilevamento e sulla distribuzione

Distribuzione dell'aggiornamento per la protezione

Altre informazioni

Ringraziamenti

Microsoft ringrazia i seguenti utenti per aver collaborato alla protezione dei sistemi dei clienti:

  • Chris Ries dell'Information Security Office di Carnegie Mellon University per aver segnalato la vulnerabilità legata agli strumenti di sviluppo di Microsoft Internet Explorer 8 (CVE-2010-0811)
  • Brian Gorenc di DVLabsdel TippingPoint che collabora con noi in merito alla vulnerabilità del controllo ActiveX degli strumenti WMI di Microsoft (CVE-2010-3973)
  • RadLSneak, che collabora con iSIGHT Partners Global Vulnerability Partnership, per aver segnalato la vulnerabilità legata al controllo ActiveX di Microsoft Windows Messenger (CVE-2011-1243)

Microsoft Active Protections Program (MAPP)

Per migliorare il livello di protezione offerto ai clienti, Microsoft fornisce ai principali fornitori di software di protezione i dati relativi alle vulnerabilità in anticipo rispetto alla pubblicazione mensile dell'aggiornamento per la protezione. I fornitori di software di protezione possono servirsi di tali dati per fornire ai clienti delle protezioni aggiornate tramite software o dispositivi di protezione, quali antivirus, sistemi di rilevamento delle intrusioni di rete o sistemi di prevenzione delle intrusioni basati su host. Per verificare se tali protezioni attive sono state rese disponibili dai fornitori di software di protezione, visitare i siti Web relativi alle protezioni attive pubblicati dai partner del programma, che sono elencati in Microsoft Active Protections Program (MAPP) Partners.

Supporto

  • Per usufruire dei servizi del supporto tecnico, visitare il sito Web del Security Support. Le chiamate al supporto tecnico relative agli aggiornamenti per la protezione sono gratuite. Per ulteriori informazioni sulle opzioni di supporto disponibili, visitare il sito Microsoft Aiuto & Supporto.
  • I clienti internazionali possono ottenere assistenza tecnica presso le filiali Microsoft locali. Il supporto relativo agli aggiornamenti di protezione è gratuito. Per ulteriori informazioni su come contattare Microsoft per ottenere supporto, visitare il sito Web del supporto internazionale.

Dichiarazione di non responsabilità

Le informazioni disponibili nella Microsoft Knowledge Base sono fornite "come sono" senza garanzie di alcun tipo. Microsoft non rilascia alcuna garanzia, esplicita o implicita, inclusa la garanzia di commerciabilità e di idoneità per uno scopo specifico. Microsoft Corporation o i suoi fornitori non saranno, in alcun caso, responsabili per danni di qualsiasi tipo, inclusi i danni diretti, indiretti, incidentali, consequenziali, la perdita di profitti e i danni speciali, anche qualora Microsoft Corporation o i suoi fornitori siano stati informati della possibilità del verificarsi di tali danni. Alcuni stati non consentono l'esclusione o la limitazione di responsabilità per danni diretti o indiretti e, dunque, la sopracitata limitazione potrebbe non essere applicabile.

Versioni

  • V1.0 (12 aprile 2011): Pubblicazione del bollettino.
  • V1.1 (27 luglio 2011): Identificatori di classe aggiunti per il controllo ActiveX degli strumenti WMI di Microsoft descritti in questa sezione del bollettino sulle vulnerabilità per CVE-2010-3973. La modifica è esclusivamente informativa. I clienti che hanno già applicato la soluzione alternativa "Non consentire l'esecuzione degli oggetti COM in Internet Explorer" per questa vulnerabilità dovrebbero applicare nuovamente questa soluzione con gli identificatori di classe aggiuntivi.