Bollettino Microsoft sulla sicurezza MS11-079 - Importante
Alcune vulnerabilità in Microsoft Forefront Unified Access Gateway possono consentire l'esecuzione di codice in modalità remota (2544641)
Data di pubblicazione:
Versione: 1.0
Informazioni generali
Riepilogo
Questo aggiornamento per la protezione risolve cinque vulnerabilità segnalate privatamente in Microsoft Forefront Unified Access Gateway (UAG). La più grave delle vulnerabilità può consentire l'esecuzione di codice in modalità remota se un utente visita un sito Web interessato che utilizza un URL appositamente predisposto. Tuttavia, non è in alcun modo possibile obbligare gli utenti a visitare un sito Web di questo tipo. L'utente malintenzionato dovrebbe invece invogliare le vittime a visitare il sito Web, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito.
L'aggiornamento per la protezione è considerato di livello importante per tutte le versioni supportate di Forefront Unified Access Gateway 2010. Per ulteriori informazioni, vedere la sottosezione Software interessato e Software non interessato in questa sezione.
L'aggiornamento per la protezione risolve le vulnerabilità modificando il modo in cui UAG gestisce le richieste appositamente predisposte, modificando il file MicrosoftClient.JAR e aggiungendo la gestione delle eccezioni per il valore null del server Web di UAG. Per ulteriori informazioni sulle vulnerabilità, cercare la voce specifica nella sottosezione Domande frequenti della sezione Informazioni sulle vulnerabilità.
Raccomandazione. Microsoft consiglia di installare l'aggiornamento quanto prima.
Problemi noti. L'articolo della Microsoft Knowledge Base 2544641 descrive i problemi attualmente conosciuti che gli utenti potrebbero riscontrare installando questo aggiornamento per la protezione. L'articolo illustra inoltre le soluzioni consigliate in grado di risolvere questi problemi.
Software interessato e Software non interessato
Il seguente software è stato sottoposto a test per determinare quali versioni o edizioni siano interessate. Le altre versioni o edizioni non sono interessate dalla vulnerabilità o sono al termine del ciclo di vita del supporto. Per informazioni sulla disponibilità del supporto per la versione o l'edizione del software in uso, visitare il sito Web Ciclo di vita del supporto Microsoft.
Software interessato
| Sistema operativo | Livello massimo di impatto sulla protezione | Livello di gravità aggregato | Bollettini sostituiti da questo aggiornamento |
|---|---|---|---|
| Microsoft Forefront Unified Access Gateway 2010[1] (KB2522482) | Esecuzione di codice in modalità remota | Importante | Nessuno |
| Aggiornamento 1 di Forefront Unified Access Gateway 2010[1] (KB2522483) | Esecuzione di codice in modalità remota | Importante | Nessuno |
| Aggiornamento 2 di Forefront Unified Access Gateway 2010[1] (KB2522484) | Esecuzione di codice in modalità remota | Importante | Nessuno |
| Microsoft Forefront Unified Access Gateway 2010 Service Pack 1[1] (KB2522485) | Esecuzione di codice in modalità remota | Importante | Nessuno |
[1]Questo aggiornamento è disponibile soltanto nell'Area download Microsoft. Vedere la sezione Domande frequenti sull'aggiornamento per la protezione.
Domande frequenti sull'aggiornamento per la protezione
Informazioni sulle vulnerabilità
Livelli di gravità e identificatori della vulnerabilità
Vulnerabilità legata al cross-site scripting con "response splitting" nelle tabelle Excel - CVE-2011-1895
Vulnerabilità legata al cross-site scripting riflesso nelle tabelle Excel - CVE-2011-1896
Vulnerabilità legata al cross-site scripting riflesso predefinito - CVE-2011-1897
Vulnerabilità legata all'esecuzione di codice in siti Web dannosi - CVE-2011-1969
Blocco dei cookie con annullamento della sessione - CVE-2011-2012
Informazioni sull'aggiornamento
Strumenti e informazioni sul rilevamento e sulla distribuzione
Distribuzione dell'aggiornamento per la protezione
Altre informazioni
Ringraziamenti
Microsoft ringrazia i seguenti utenti per aver collaborato alla protezione dei sistemi dei clienti:
- Tenable Network Security per aver segnalato la vulnerabilità legata al cross-site scripting con "response splitting" nelle tabelle Excel (CVE-2011-1895)
- Tenable Network Security per aver segnalato la vulnerabilità legata al cross-site scripting riflesso nelle tabelle Excel (CVE-2011-1896)
- Tenable Network Security per aver segnalato la vulnerabilità legata al cross-site scripting riflesso predefinito (CVE-2011-1897)
Microsoft Active Protections Program (MAPP)
Supporto
- Per usufruire dei servizi del supporto tecnico, visitare il sito Web del Security Support. Le chiamate al supporto tecnico relative agli aggiornamenti per la protezione sono gratuite. Per ulteriori informazioni sulle opzioni di supporto disponibili, visitare il sito Microsoft Aiuto & Supporto.
- I clienti internazionali possono ottenere assistenza tecnica presso le filiali Microsoft locali. Il supporto relativo agli aggiornamenti di protezione è gratuito. Per ulteriori informazioni su come contattare Microsoft per ottenere supporto, visitare il sito Web del supporto internazionale.
Dichiarazione di non responsabilità
Le informazioni disponibili nella Microsoft Knowledge Base sono fornite "come sono" senza garanzie di alcun tipo. Microsoft non rilascia alcuna garanzia, esplicita o implicita, inclusa la garanzia di commerciabilità e di idoneità per uno scopo specifico. Microsoft Corporation o i suoi fornitori non saranno, in alcun caso, responsabili per danni di qualsiasi tipo, inclusi i danni diretti, indiretti, incidentali, consequenziali, la perdita di profitti e i danni speciali, anche qualora Microsoft Corporation o i suoi fornitori siano stati informati della possibilità del verificarsi di tali danni. Alcuni stati non consentono l'esclusione o la limitazione di responsabilità per danni diretti o indiretti e, dunque, la sopracitata limitazione potrebbe non essere applicabile.
Versioni
- V1.0 (11 ottobre 2011): Pubblicazione del bollettino.