Bollettino Microsoft sulla sicurezza MS11-049 - Importante

Una vulnerabilità nell'editor XML di Microsoft può consentire l'intercettazione di informazioni personali (2543893)

Data di pubblicazione: | Aggiornamento:

Versione: 2.3

Informazioni generali

Riepilogo

Questo aggiornamento per la protezione risolve una vulnerabilità segnalata privatamente nell'editor XML di Microsoft. La vulnerabilità può consentire l'intercettazione di informazioni personali se un utente apre un file di individuazione del servizio Web (.disco) appositamente predisposto con uno dei software interessati elencati in questo bollettino. Si noti che questa vulnerabilità non consente di eseguire codice o acquisire direttamente diritti utente più elevati, ma può essere utilizzata per produrre informazioni utili al fine di compromettere ulteriormente il sistema interessato.

Questo aggiornamento per la protezione è considerato di livello importante per tutte le edizioni supportate di Microsoft Office InfoPath 2007 e Microsoft Office InfoPath 2010; tutte le edizioni supportate di SQL Server 2005, SQL Server 2008 e SQL Server 2008 R2; tutte le edizioni supportate di Microsoft Visual Studio 2005, Microsoft Visual Studio 2008 e Microsoft Visual Studio 2010. Per ulteriori informazioni, vedere la sottosezione Software interessato e Software non interessato in questa sezione.

L'aggiornamento per la protezione risolve la vulnerabilità correggendo il modo in cui l'editor XML risolve delle entità esterne all'interno di un file di individuazione del servizio Web (.disco). Per ulteriori informazioni sulla vulnerabilità, vedere la sottosezione Domande frequenti per la specifica voce della vulnerabilità nella sezione Informazioni sulle vulnerabilità.

Raccomandazione. Microsoft consiglia di installare l'aggiornamento quanto prima.

Problemi noti. L'articolo della Microsoft Knowledge Base 2543893 descrive i problemi attualmente noti che gli utenti potrebbero riscontrare durante l'installazione di questo aggiornamento per la protezione. L'articolo illustra inoltre le soluzioni consigliate in grado di risolvere questi problemi.

Software interessato e Software non interessato

Il seguente software è stato sottoposto a test per determinare quali versioni o edizioni siano interessate. Le altre versioni o edizioni non sono interessate dalla vulnerabilità o sono al termine del ciclo di vita del supporto. Per informazioni sulla disponibilità del supporto per la versione o l'edizione del software in uso, visitare il sito Web Ciclo di vita del supporto Microsoft.

Software Microsoft Office

SoftwareLivello massimo di impatto sulla protezioneLivello di gravità aggregatoBollettini sostituiti da questo aggiornamento
Microsoft InfoPath 2007 Service Pack 2
(KB2510061)
Intercettazione di informazioni personaliImportanteNessuno
Microsoft InfoPath 2010 (edizioni a 32 bit)
(KB2510065)
Intercettazione di informazioni personaliImportanteNessuno
Microsoft InfoPath 2010 (edizioni a 64 bit)
(KB2510065)
Intercettazione di informazioni personaliImportanteNessuno

Microsoft SQL Server

Aggiornamenti software GDRAggiornamenti software QFELivello massimo di impatto sulla protezioneLivello di gravità aggregatoBollettini sostituiti da questo aggiornamento
SQL Server 2005 Service Pack 3
(KB2494113)
SQL Server 2005 Service Pack 3
(KB2494112)
Intercettazione di informazioni personaliImportanteMS09-062
SQL Server 2005 x64 Edition Service Pack 3
(KB2494113)
SQL Server 2005 x64 Edition Service Pack 3
(KB2494112)
Intercettazione di informazioni personaliImportanteMS09-062
SQL Server 2005 per sistemi Itanium Service Pack 3
(KB2494113)
SQL Server 2005 per sistemi Itanium Service Pack 3
(KB2494112)
Intercettazione di informazioni personaliImportanteMS09-062
SQL Server 2005 Service Pack 4
(KB2494120)
SQL Server 2005 Service Pack 4
(KB2494123)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2005 x64 Edition Service Pack 4
(KB2494120)
SQL Server 2005 x64 Edition Service Pack 4
(KB2494123)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2005 per sistemi Itanium Service Pack 4
(KB2494120)
SQL Server 2005 per sistemi Itanium Service Pack 4
(KB2494123)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2005 Express Edition Service Pack 3
(KB2494113)
SQL Server 2005 Express Edition Service Pack 3
(KB2494112)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2005 Express Edition Service Pack 4
(KB2494120)
SQL Server 2005 Express Edition Service Pack 4
(KB2494123)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2005 Express Edition with Advanced Services Service Pack 3
(KB2494113)
SQL Server 2005 Express Edition with Advanced Services Service Pack 3
(KB2494112)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2005 Express Edition with Advanced Services Service Pack 4
(KB2494120)
SQL Server 2005 Express Edition with Advanced Services Service Pack 4
(KB2494123)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server Management Studio Express (SSMSE) 2005
(KB2546869)
Non applicabileIntercettazione di informazioni personaliImportanteNessuno
SQL Server Management Studio Express (SSMSE) 2005 x 64 Edition
(KB2546869)
Non applicabileIntercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 per sistemi a 32 bit Service Pack 1[1]
(KB2494096)
SQL Server 2008 per sistemi a 32 bit Service Pack 1[1]
(KB2494100)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 per sistemi x64 Service Pack 1[1]
(KB2494096)
SQL Server 2008 per sistemi x64 Service Pack 1[1]
(KB2494100)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 per sistemi Itanium Service Pack 1
(KB2494096)
SQL Server 2008 per sistemi Itanium Service Pack 1
(KB2494100)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 per sistemi a 32 bit Service Pack 2[1]
(KB2494089)
SQL Server 2008 per sistemi a 32 bit Service Pack 2[1]
(KB2494094)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 per sistemi x64 Service Pack 2[1]
(KB2494089)
SQL Server 2008 per sistemi x64 Service Pack 2[1]
(KB2494094)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 per sistemi Itanium Service Pack 2
(KB2494089)
SQL Server 2008 per sistemi Itanium Service Pack 2
(KB2494094)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 R2 per sistemi a 32 bit[1]
(KB2494088)
SQL Server 2008 R2 per sistemi a 32 bit[1]
(KB2494086)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 R2 per sistemi x64[1]
(KB2494088)
SQL Server 2008 R2 per sistemi x64[1]
(KB2494086)
Intercettazione di informazioni personaliImportanteNessuno
SQL Server 2008 R2 per sistemi Itanium
(KB2494088)
SQL Server 2008 R2 per sistemi Itanium
(KB2494086)
Intercettazione di informazioni personaliImportanteNessuno

[1]Questo aggiornamento si applica anche alle edizioni corrispondenti Express e Express with Advanced Services Editions.

Strumenti per gli sviluppatori

SoftwareLivello massimo di impatto sulla protezioneLivello di gravità aggregatoBollettini sostituiti da questo aggiornamento
Microsoft Visual Studio 2005 Service Pack 1
(KB2251481)
Intercettazione di informazioni personaliImportanteNessuno
Microsoft Visual Studio 2008 Service Pack 1
(KB2251487)
Intercettazione di informazioni personaliImportanteNessuno
Microsoft Visual Studio 2010
(KB2251489)
Intercettazione di informazioni personaliImportanteNessuno

Software non interessato

Sistema operativo
Microsoft InfoPath 2003 Service Pack 3
Microsoft SQL Server 2000 Desktop Engine Service Pack 4
Microsoft SQL Server 2000 Itanium-Edition Service Pack 4
Microsoft SQL Server 2000 Reporting Services Service Pack 2
Microsoft SQL Server 2000 Service Pack 4
Microsoft Visual Studio .NET 2003 Service Pack 1

Domande frequenti sull'aggiornamento per la protezione

Informazioni sulle vulnerabilità

Livelli di gravità e identificatori della vulnerabilità

Vulnerabilità legata alla risoluzione di entità XML esterne - CVE-2011-1280

Informazioni sull'aggiornamento

Strumenti e informazioni sul rilevamento e sulla distribuzione

Distribuzione dell'aggiornamento per la protezione

Altre informazioni

Ringraziamenti

Microsoft ringrazia i seguenti utenti per aver collaborato alla protezione dei sistemi dei clienti:

  • Jesse Ou di Cigital per aver segnalato la vulnerabilità legata alla risoluzione delle entità XML esterne (CVE-2011-1280)

Microsoft Active Protections Program (MAPP)

Per migliorare il livello di protezione offerto ai clienti, Microsoft fornisce ai principali fornitori di software di protezione i dati relativi alle vulnerabilità in anticipo rispetto alla pubblicazione mensile dell'aggiornamento per la protezione. I fornitori di software di protezione possono servirsi di tali dati per fornire ai clienti delle protezioni aggiornate tramite software o dispositivi di protezione, quali antivirus, sistemi di rilevamento delle intrusioni di rete o sistemi di prevenzione delle intrusioni basati su host. Per verificare se tali protezioni attive sono state rese disponibili dai fornitori di software di protezione, visitare i siti Web relativi alle protezioni attive pubblicati dai partner del programma, che sono elencati in Microsoft Active Protections Program (MAPP) Partners.

Supporto

  • Per usufruire dei servizi del supporto tecnico, visitare il sito Web del Security Support o contattare 1-866-PCSAFETY. Le chiamate al supporto tecnico relative agli aggiornamenti per la protezione sono gratuite. Per ulteriori informazioni sulle opzioni di supporto disponibili, visitare il sito Microsoft Aiuto & Supporto.
  • I clienti internazionali possono ottenere assistenza tecnica presso le filiali Microsoft locali. Il supporto relativo agli aggiornamenti di protezione è gratuito. Per ulteriori informazioni su come contattare Microsoft per ottenere supporto, visitare il sito Web del supporto internazionale.

Dichiarazione di non responsabilità

Le informazioni disponibili nella Microsoft Knowledge Base sono fornite "come sono" senza garanzie di alcun tipo. Microsoft non rilascia alcuna garanzia, esplicita o implicita, inclusa la garanzia di commerciabilità e di idoneità per uno scopo specifico. Microsoft Corporation o i suoi fornitori non saranno, in alcun caso, responsabili per danni di qualsiasi tipo, inclusi i danni diretti, indiretti, incidentali, consequenziali, la perdita di profitti e i danni speciali, anche qualora Microsoft Corporation o i suoi fornitori siano stati informati della possibilità del verificarsi di tali danni. Alcuni stati non consentono l'esclusione o la limitazione di responsabilità per danni diretti o indiretti e, dunque, la sopracitata limitazione potrebbe non essere applicabile.

Versioni

  • V1.0 (14 giugno 2011): Pubblicazione del bollettino.
  • V1.1 (14 giugno 2011): Sono state rimosse voci errate dalla tabella Software non interessato.
  • V1.2 (15 giugno 2011): È stata rimossa voce errata dalla tabella Software non interessato.
  • V1.3 (22 giugno 2011): È stato corretto il bollettino sostitutivo per Microsoft Infopath 2007 e le informazioni di rilevamento di Systems Management Server per SQL Server. Questa modifica riguarda solo il bollettino. Non sono state apportate modifiche al rilevamento o ai file di aggiornamento della protezione.
  • V2.0 (9 agosto 2011): Il bollettino è stato rilasciato di nuovo per comunicare un modifica di rilevamento all'aggiornamento per Microsoft Visual Studio 2005 Service Pack 1 (KB2251481) e aggiungere il rilevamento per il software correlato elencato nelle Domande frequenti sull'aggiornamento. Non sono previsti aggiornamenti ai file sull'aggiornamento per la protezione. I clienti che hanno già aggiornato i propri sistemi non devono reinstallare questo aggiornamento.
  • V2.1 (13 settembre 2011): È stata aggiunta una Domanda frequente sull'aggiornamento per comunicare una modifica relativa al rilevamento per KB2494089 che rettifica un problema di installazione. Si tratta di una modifica solo al rilevamento. Non sono previsti aggiornamenti ai file sull'aggiornamento per la protezione. I clienti che hanno già aggiornato i propri sistemi non devono eseguire ulteriori operazioni.
  • V2.3 (24 gennaio 2012): È stata aggiunta una voce alla sessione Domande frequenti sull'aggiornamento per comunicare una modifica relativa al rilevamento per KB2251481, KB2251487 e KB2251489 al fine di correggere un problema di installazione. Si tratta di una modifica solo al rilevamento. Non sono previsti aggiornamenti ai file sull'aggiornamento per la protezione. I clienti che hanno già aggiornato i propri sistemi non devono eseguire ulteriori operazioni.