Bollettino sulla sicurezza

Microsoft Security Bulletin MS13-061 - Critico

Le vulnerabilità in Microsoft Exchange Server potrebbero consentire l'esecuzione di codice remoto (2876063)

Pubblicato: 13 agosto 2013 | Aggiornato: 27 agosto 2013

Versione: 3.0

Informazioni generali

Schema riepilogativo

Questo aggiornamento della sicurezza risolve tre vulnerabilità divulgate pubblicamente in Microsoft Exchange Server. Le vulnerabilità sono presenti nelle funzionalità WebReady Document Viewing and Data Loss Prevention di Microsoft Exchange Server. Le vulnerabilità potrebbero consentire l'esecuzione di codice remoto nel contesto di sicurezza del servizio di transcodifica nel server Exchange se un utente visualizza in anteprima un file appositamente creato usando Outlook Web App (OWA). Il servizio di transcodifica in Exchange utilizzato per la visualizzazione documenti WebReady usa le credenziali dell'account LocalService. La funzionalità Prevenzione della perdita dei dati ospita codice che potrebbe consentire l'esecuzione di codice remoto nel contesto di sicurezza del servizio Gestione filtri se un messaggio appositamente creato viene ricevuto dal server Exchange. Il servizio Gestione filtri in Exchange utilizza le credenziali dell'account LocalService. L'account LocalService ha privilegi minimi nel sistema locale e presenta credenziali anonime nella rete.

Questo aggiornamento della sicurezza è valutato Critical per tutte le edizioni supportate di Microsoft Exchange Server 2007, Microsoft Exchange Server 2010 e Microsoft Exchange Server 2013. Per altre informazioni, vedere la sottosezione, Affected e Non-Affected Software, in questa sezione.

L'aggiornamento della sicurezza risolve le vulnerabilità aggiornando le librerie Oracle Outside In interessate a una versione non vulnerabile. Per altre informazioni sulle vulnerabilità, vedere la sottosezione Domande frequenti per la voce relativa alle vulnerabilità specifiche nella sezione successiva Informazioni sulla vulnerabilità.

Elemento consigliato. I clienti possono configurare l'aggiornamento automatico per verificare la disponibilità di aggiornamenti online da Microsoft Update tramite il servizio Microsoft Update . I clienti che hanno abilitato l'aggiornamento automatico e configurato per verificare la disponibilità di aggiornamenti online da Microsoft Update in genere non dovranno eseguire alcuna azione perché questo aggiornamento della sicurezza verrà scaricato e installato automaticamente. I clienti che non hanno abilitato l'aggiornamento automatico devono verificare la disponibilità di aggiornamenti da Microsoft Update e installare questo aggiornamento manualmente. Per informazioni sulle opzioni di configurazione specifiche nell'aggiornamento automatico nelle edizioni supportate di Windows XP e Windows Server 2003, vedere l'articolo della Microsoft Knowledge Base 294871. Per informazioni sull'aggiornamento automatico nelle edizioni supportate di Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2, vedere Informazioni sull'aggiornamento automatico di Windows.

Per gli amministratori e le installazioni aziendali o per gli utenti finali che vogliono installare manualmente questo aggiornamento della sicurezza, Microsoft consiglia ai clienti di applicare immediatamente l'aggiornamento usando il software di gestione degli aggiornamenti o controllando la disponibilità di aggiornamenti tramite il servizio Microsoft Update .

Vedere anche la sezione Strumenti di rilevamento e distribuzione e indicazioni, più avanti in questo bollettino.

Problemi noti. None

Articolo della Knowledge Base

Software interessato e non interessato

Il software seguente è stato testato per determinare quali versioni o edizioni sono interessate. Altre versioni o edizioni superano il ciclo di vita del supporto o non sono interessate. Per determinare il ciclo di vita del supporto per la versione o l'edizione del software, vedere supporto tecnico Microsoft Ciclo di vita.

Software interessato

** **

Software non interessato 

Domande frequenti su Aggiornamento

Perché questo bollettino è stato rivisto il 27 agosto 2013?  Microsoft ha rilasciato questo bollettino per annunciare il reoffering dell'aggiornamento 2874216 che interessa l'aggiornamento cumulativo 1 di Exchange Server 2013 e l'aggiornamento cumulativo 2 di Microsoft Exchange Server 2013. L'aggiornamento rilasciato nuovamente risolve un problema con l'aggiornamento originale, rilasciato il 13 agosto 2013, che potrebbe causare l'arresto dell'indicizzazione della posta nei server di Exchange Server. I clienti che hanno già installato l'aggiornamento originale riceveranno nuovamente l'aggiornamento 2874216 e sono invitati a applicarlo alla prima opportunità.

Se si esegue la prima offerta di 2874216, è necessario eseguire i passaggi descritti in KB 2879739 dopo aver applicato l'aggiornamento rilasciato?   Questo aggiornamento rilasciato risolve il problema che ha causato l'installazione non corretta dell'aggiornamento del 2874216 originale nei server Exchange che in precedenza non erano stati aggiornati. Per ripristinare la funzionalità completa in qualsiasi server in cui è stata installata la prima offerta di 2874216, gli amministratori devono applicare l'aggiornamento 2874216 rilasciato e seguire anche i passaggi descritti nell'articolo della Knowledge Base 2879739.

Cosa accade se un aggiornamento della sicurezza o qualsiasi altra patch di aggiornamento provvisorio viene disinstallato?  Se si rimuove un aggiornamento della sicurezza o una patch di aggiornamento provvisorio, il servizio di indicizzazione del contenuto avrà esito negativo. Per ripristinare la funzionalità completa, sarà necessario seguire i passaggi descritti nell'articolo della Knowledge Base 2879739. La possibilità di disinstallare un problema di sicurezza o di aggiornamento provvisorio verrà risolto nell'aggiornamento cumulativo 3.

Perché questo bollettino è stato rivisto il 14 agosto 2013? Cosa è successo agli aggiornamenti originali della sicurezza 2874216 per Microsoft Exchange Server 2013?  Microsoft è a conoscenza di un problema relativo agli aggiornamenti 2874216 che interessano l'aggiornamento cumulativo di Exchange Server 2013 1 e l'aggiornamento cumulativo 2 di Microsoft Exchange Server 2013 che potrebbe causare l'arresto dell'indicizzazione della posta nei server. Microsoft ha rimosso gli aggiornamenti da Windows Update e dall'Area download ed è in corso l'analisi del problema. Microsoft rilascia nuovi pacchetti una volta risolto il problema.

Gli avvisi di Aggiornamento patch critico Oracle illustrano più vulnerabilità.The Oracle Critical Patch Update advisoriesdiscus multiple vulnerabilities. Quali vulnerabilità risolve questo aggiornamento?
Questo aggiornamento risolve tre vulnerabilità: CVE-2013-3781 e CVE-2013-3776, come descritto in Oracle Critical Patch Update Advisory - Luglio 2013 e CVE-2013-2393, come illustrato in Oracle Critical Path Update Advisory - April 2013.

Questo aggiornamento contiene modifiche non correlate alla sicurezza apportate alle funzionalità?
Sì, a seconda della versione di Microsoft Exchange Server installata. Oltre alle modifiche elencate nella sezione Informazioni sulla vulnerabilità di questo bollettino, questo aggiornamento include altre modifiche alle funzionalità, come descritto negli articoli della Knowledge Base associati per gli aggiornamenti cumulativi interessati elencati di seguito.

• Per l'aggiornamento cumulativo 11 per Exchange Server 2007 Service Pack 3 (2873746), vedere l'articolo della Microsoft Knowledge Base 2873746.
• Per l'aggiornamento cumulativo 2 per Exchange Server 2010 Service Pack 3 (2866475), vedere l'articolo della Microsoft Knowledge Base 2866475.

Si tratta di vulnerabilità nel codice di terze parti, oracle esterno alle librerie. Perché Microsoft esegue un aggiornamento della sicurezza?
Microsoft concede in licenza un'implementazione personalizzata delle librerie Oracle Outside In, specifiche del prodotto in cui viene usato il codice di terze parti. Microsoft sta eseguendo questo aggiornamento della sicurezza per garantire che tutti i clienti che usano questo codice di terze parti in Microsoft Exchange siano protetti da queste vulnerabilità.

Uso una versione precedente del software discussa in questo bollettino sulla sicurezza. Cosa devo fare?
Il software interessato elencato in questo bollettino è stato testato per determinare quali versioni sono interessate. Altre versioni hanno superato il ciclo di vita del supporto. Per altre informazioni sul ciclo di vita del prodotto, vedere il sito Web supporto tecnico Microsoft Lifecycle.For more information about the product lifecycle, see the supporto tecnico Microsoft Lifecycle website.

Deve essere una priorità per i clienti che dispongono di versioni precedenti del software per eseguire la migrazione alle versioni supportate per evitare potenziali esposizione alle vulnerabilità. Per determinare il ciclo di vita del supporto per la versione software, vedere Selezionare un prodotto per informazioni sul ciclo di vita. Per altre informazioni sui Service Pack per queste versioni software, vedere Service Pack Lifecycle Support Policy.

I clienti che richiedono supporto personalizzato per il software precedente devono contattare il rappresentante del team dell'account Microsoft, il responsabile dell'account tecnico o il rappresentante partner Microsoft appropriato per le opzioni di supporto personalizzate. I clienti senza contratto Alliance, Premier o Authorized possono contattare l'ufficio vendite Microsoft locale. Per informazioni di contatto, vedere il sito Web Microsoft Worldwide Information , selezionare il paese nell'elenco Informazioni di contatto e quindi fare clic su Vai per visualizzare un elenco di numeri di telefono. Quando chiami, chiedi di parlare con il responsabile vendite premier support locale. Per altre informazioni, vedere domande frequenti sui criteri relativi al ciclo di vita di supporto tecnico Microsoft.

Informazioni sulla vulnerabilità

Classificazioni di gravità e identificatori di vulnerabilità

Le classificazioni di gravità seguenti presuppongono il potenziale impatto massimo della vulnerabilità. Per informazioni sulla probabilità, entro 30 giorni dal rilascio del bollettino sulla sicurezza, della sfruttabilità della vulnerabilità in relazione alla valutazione della gravità e all'impatto sulla sicurezza, vedere l'indice di exploit nel riepilogo del bollettino di agosto. Per altre informazioni, vedere Microsoft Exploitability Index.

Oracle all'esterno di contiene più vulnerabilità sfruttabili

Due delle tre vulnerabilità risolte in questo bollettino, CVE-2013-2393 e CVE-2013-3776, esistono in Exchange Server 2007, Exchange Server 2010 ed Exchange Server 2013 tramite la funzionalità Visualizzazione documenti WebReady. Le vulnerabilità potrebbero consentire l'esecuzione di codice remoto come account LocalService se un utente visualizza un file appositamente creato tramite Outlook Web Access in un browser. Un utente malintenzionato che ha sfruttato correttamente questa vulnerabilità potrebbe eseguire codice nel server Exchange interessato, ma solo come account LocalService. L'account LocalService ha privilegi minimi nel computer locale e presenta credenziali anonime nella rete.

La terza vulnerabilità, CVE-2013-3781, esiste in Exchange Server 2013 tramite la funzionalità Protezione dalla perdita di dati (DLP). Questa vulnerabilità potrebbe causare la mancata risposta dell'istanza di Exchange Server interessata se un utente visualizza un file appositamente creato tramite Outlook Web Access in un browser.

Per visualizzare queste vulnerabilità come voce standard nell'elenco Vulnerabilità ed esposizioni comuni, vedere CVE-2013-2393, CVE-2013-3776 e CVE-2013-3781.

Fattori di mitigazione

La mitigazione si riferisce a un'impostazione, a una configurazione comune o a una procedura consigliata generale, esistente in uno stato predefinito, che potrebbe ridurre la gravità dello sfruttamento di una vulnerabilità. I fattori di mitigazione seguenti possono essere utili nella situazione:

• Il servizio di transcodifica in Exchange utilizzato per la visualizzazione documenti WebReady è in esecuzione nell'account LocalService. L'account LocalService ha privilegi minimi nel computer locale e presenta credenziali anonime nella rete. Si tratta di un fattore di mitigazione per CVE-2013-3776 e CVE-2013-3781.
• Il servizio Gestione filtri in Exchange utilizzato per la prevenzione della perdita dei dati è in esecuzione nell'account LocalService. L'account LocalService ha privilegi minimi nel sistema locale e presenta credenziali anonime nella rete. Si tratta di un fattore di mitigazione per CVE-2013-3776 e CVE-2013-3781

Soluzioni alternative

La soluzione alternativa si riferisce a un'impostazione o a una modifica della configurazione che non corregge la vulnerabilità sottostante, ma che consente di bloccare i vettori di attacco noti prima di applicare l'aggiornamento. Microsoft ha testato le soluzioni alternative e gli stati seguenti nella discussione se una soluzione alternativa riduce le funzionalità:

• Disabilitare la prevenzione della perdita dei dati (solo Exchange Server 2013)

  1. Accedere a Exchange Management Shell come exchange Organization Amministrazione istrator.

  2. Eseguire uno dei comandi di PowerShell seguenti a seconda della versione di Exchange Server 2013 installata:

     Per Exchange Server 2013 Aggiornamento cumulativo 1:

     %SystemDrive%\Program Files\Microsoft\Exchange Server\V15\Scripts\Disable-OutsideIn.ps1

     Per Exchange Server 2013 Aggiornamento cumulativo 2:

     Set-TextExtractionScanSettings -EnableModules AdeModule.dll, FilterModule.dll, TextConversionModule.dll

  Impatto della soluzione alternativa. I criteri di prevenzione della perdita dei dati che dipendono dalle librerie Outside In non funzioneranno. Lo script fornito per l'aggiornamento cumulativo 1 causerà il riavvio dei servizi di gestione trasporto e filtro.

  Ricerca per categorie annullare la soluzione alternativa?

  1. Accedere a Exchange Management Shell come exchange Organization Amministrazione istrator.

  2. Eseguire uno dei comandi di PowerShell seguenti, a seconda della versione di Exchange Server 2013 installata:

     Per Exchange Server 2013 Aggiornamento cumulativo 1:

     %SystemDrive%\Program Files\Microsoft\Exchange Server\V15\Scripts\Enable-OutsideIn.ps1

     Per Exchange Server 2013 Aggiornamento cumulativo 2:

     Set-TextExtractionScanSettings -EnableModules AdeModule.dll, FilterModule.dll, TextConversionModule.dll, OutsideInModule.dll

• Disabilitare la visualizzazione documento WebReady

  1. Accedere a Exchange Management Shell come exchange Organization Amministrazione istrator.

  2. Eseguire il comando di PowerShell seguente:

     Get-OwaVirtualDirectory | where {$_.OwaVersion -eq 'Exchange2007' -or $_.OwaVersion -eq 'Exchange2010' -or 
     $_.OwaVersion -eq 'Exchange2013'} | Set-OwaVirtualDirectory - 
     WebReadyDocumentViewingOnPublicComputersEnabled:$False - 
     WebReadyDocumentViewingOnPrivateComputersEnabled:$False
     

  Impatto della soluzione alternativa. Gli utenti OWA potrebbero non essere in grado di visualizzare in anteprima il contenuto degli allegati di posta elettronica.

  Ricerca per categorie annullare la soluzione alternativa?

  1. Accedere a Exchange Management Shell come exchange Organization Amministrazione istrator.

  2. Eseguire il comando di PowerShell seguente:

     Get-OwaVirtualDirectory | where {$_.OwaVersion -eq 'Exchange2007' -or $_.OwaVersion -eq 'Exchange2010' -or 
     $_.OwaVersion -eq 'Exchange2013'} | Set-OwaVirtualDirectory -
     WebReadyDocumentViewingOnPublicComputersEnabled:$True -
     WebReadyDocumentViewingOnPrivateComputersEnabled:$True
     

  Nota I passaggi precedenti presuppongono che Exchange Amministrazione istrator avesse precedentemente consentito la visualizzazione di documenti WebReady sia su accessi pubblici che privati a OWA. Il valore $True o $False appropriato deve essere usato per impostare il comportamento desiderato in base all'accesso utente.

Domande frequenti

Qual è l'ambito delle vulnerabilità? 
Si tratta di vulnerabilità di esecuzione del codice remoto.

Quali sono le cause delle vulnerabilità? 
Le vulnerabilità vengono causate quando le librerie Oracle Outside In analizzano file appositamente creati.

Che cosa sono le librerie Oracle Outside In? 
In Exchange Server 2007, Exchange Server 2010 ed Exchange Server 2013, gli utenti di Outlook Web App (OWA) vengono forniti con una funzionalità denominata Visualizzazione documenti WebReady che consente agli utenti di visualizzare determinati allegati come pagine Web anziché basarsi su applicazioni locali per aprirle o visualizzarle. Le librerie Oracle Outside In vengono usate dal processo di conversione nel back-end del server per supportare la funzionalità WebReady. Microsoft concede in licenza queste librerie da Oracle.

In Exchange Server 2013, Exchange Data Loss Prevention (DLP) sfrutta le librerie Oracle Outside In come parte delle funzionalità di analisi dei file.

Che cos'è la visualizzazione di documenti WebReady? 
Visualizzazione documenti WebReady consente agli utenti di visualizzare determinati allegati come pagina Web. Exchange 2007, Exchange 2010 ed Exchange 2013 eseguono la conversione, quindi l'utente non ha bisogno di altro che un Web browser per visualizzare gli allegati.

Che cos'è La prevenzione della perdita dei dati (DLP)?
Prevenzione della perdita dei dati (DLP) è una funzionalità di Exchange 2013 che consente ai clienti di identificare, monitorare e proteggere i dati sensibili tramite analisi approfondite dei contenuti.

Cosa può fare un utente malintenzionato che usa queste vulnerabilità? 
Un utente malintenzionato che ha sfruttato correttamente queste vulnerabilità potrebbe eseguire codice arbitrario come LocalService nel server exchange interessato. Un utente malintenzionato potrebbe quindi installare programmi; visualizzare, modificare o eliminare i dati; o eseguire qualsiasi altra azione a cui il processo del server può accedere.

In che modo un utente malintenzionato potrebbe sfruttare queste vulnerabilità? 
Un utente malintenzionato potrebbe inviare un messaggio di posta elettronica contenente un file appositamente creato a un utente in un server exchange interessato.

Quali sistemi sono principalmente a rischio dalle vulnerabilità? 
I sistemi che eseguono versioni interessate di Exchange Server sono principalmente a rischio da queste vulnerabilità.

Cosa fa l'aggiornamento? 
L'aggiornamento risolve le vulnerabilità aggiornando le librerie Oracle Outside In interessate a una versione non vulnerabile.

Quando è stato pubblicato questo bollettino sulla sicurezza, queste vulnerabilità sono state divulgate pubblicamente? 
Sì. Queste vulnerabilità sono state divulgate pubblicamente. Sono stati assegnati i seguenti numeri di vulnerabilità ed esposizione comuni:

• CVE-2013-2393
• CVE-2013-3776
• CVE-2013-3781

Quando è stato emesso questo bollettino sulla sicurezza, Microsoft ha ricevuto eventuali segnalazioni che queste vulnerabilità sono state sfruttate? 
No. Microsoft non ha ricevuto informazioni per indicare che queste vulnerabilità erano state usate pubblicamente per attaccare i clienti quando questo bollettino sulla sicurezza è stato originariamente pubblicato.

Aggiorna informazioni

Strumenti e linee guida per il rilevamento e la distribuzione

Sono disponibili diverse risorse per aiutare gli amministratori a distribuire gli aggiornamenti della sicurezza. 

• Microsoft Baseline Security Analyzer (MBSA) consente agli amministratori di analizzare i sistemi locali e remoti per individuare gli aggiornamenti della sicurezza mancanti e le configurazioni comuni della sicurezza. 
• Windows Server Update Services (WSUS), Systems Management Server (SMS) e System Center Configuration Manager (SCCM) consentono agli amministratori di distribuire gli aggiornamenti della sicurezza. 
• I componenti dell'analizzatore di compatibilità degli aggiornamenti inclusi in Application Compatibility Toolkit semplificano il test e la convalida degli aggiornamenti di Windows nelle applicazioni installate. 

Per informazioni su questi e altri strumenti disponibili, vedere Strumenti di sicurezza per professionisti IT. 

Distribuzione degli aggiornamenti della sicurezza

Software interessato

Per informazioni sull'aggiornamento della sicurezza specifico per il software interessato, fare clic sul collegamento appropriato:

Microsoft Exchange Server 2007 Service Pack 3

Tabella di riferimento

La tabella seguente contiene le informazioni sull'aggiornamento della sicurezza per questo software.

Microsoft Exchange Server 2010 Service Pack 2

Tabella di riferimento

La tabella seguente contiene le informazioni sull'aggiornamento della sicurezza per questo software.

Microsoft Exchange Server 2010 Service Pack 3

Tabella di riferimento

La tabella seguente contiene le informazioni sull'aggiornamento della sicurezza per questo software.

Microsoft Exchange Server 2013

Tabella di riferimento

La tabella seguente contiene le informazioni sull'aggiornamento della sicurezza per questo software.

Altre informazioni

Microsoft Active Protections Program (MAPP)

Per migliorare le protezioni di sicurezza per i clienti, Microsoft fornisce informazioni sulle vulnerabilità ai principali provider di software di sicurezza in anticipo di ogni versione mensile dell'aggiornamento della sicurezza. I provider di software di sicurezza possono quindi usare queste informazioni sulla vulnerabilità per fornire protezioni aggiornate ai clienti tramite il software o i dispositivi di sicurezza, ad esempio antivirus, sistemi di rilevamento delle intrusioni basati sulla rete o sistemi di prevenzione delle intrusioni basati su host. Per determinare se le protezioni attive sono disponibili dai provider di software di sicurezza, visitare i siti Web di protezione attivi forniti dai partner del programma, elencati in Microsoft Active Protections Program (MAPP).

Supporto tecnico

Come ottenere assistenza e supporto per questo aggiornamento della sicurezza

• Guida all'installazione degli aggiornamenti: supporto per Microsoft Update
• Soluzioni di sicurezza per professionisti IT: Risoluzione dei problemi e supporto per la sicurezza techNet
• Proteggere il computer che esegue Windows da virus e malware: Soluzione virus e Centro sicurezza
• Supporto locale in base al proprio paese: Supporto internazionale

Dichiarazione di non responsabilità

Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.

Revisioni

• V1.0 (13 agosto 2013): Bollettino pubblicato.
• V2.0 (14 agosto 2013): Bollettino rilasciato per rimuovere gli aggiornamenti 2874216 per Microsoft Exchange Server 2013 Cumulative Update 1 e Microsoft Exchange Server 2013 Cumulative Update 2 per risolvere un problema con gli aggiornamenti. Per informazioni dettagliate, vedere Le domande frequenti sull'aggiornamento.
• V3.0 (27 agosto 2013): Bollettino rilasciato per annunciare il nuovo aggiornamento cumulativo di 2874216 per Microsoft Exchange Server 2013 Cumulative Update 1 e Microsoft Exchange Server 2013 Cumulative Update 2. Per informazioni dettagliate, vedere Le domande frequenti sull'aggiornamento.

Costruito al 2014-04-18T13:49:36Z-07:00