Esporta (0) Stampa
Espandi tutto

Advisory Microsoft sulla sicurezza 2757760

Una vulnerabilità in Internet Explorer può consentire l'esecuzione di codice in modalità remota

Data di pubblicazione: lunedì 17 settembre 2012 | Aggiornamento: mercoledì 19 settembre 2012

Versione: 1.2

Informazioni generali

Riepilogo

Microsoft sta esaminando segnalazioni pubbliche di una vulnerabilità in Internet Explorer 6, Internet Explorer 7, Internet Explorer 8 e Internet Explorer 9. Internet Explorer 10 non è interessato. Microsoft è a conoscenza di attacchi mirati che tentano di sfruttare questa vulnerabilità. L'applicazione della soluzione Microsoft Fix it, "Evitare il danneggiamento della memoria tramite ExecCommand in Internet Explorer" previene lo sfruttamento del problema. Per ulteriori informazioni, consultare la sezione Interventi consigliati di questo advisory.

Esiste una vulnerabilità legata all'esecuzione di codice in modalità remota nel modo in cui Internet Explorer accede a un oggetto nella memoria che è stato cancellato o non è stato allocato correttamente. La vulnerabilità potrebbe danneggiare la memoria in modo da consentire a un utente malintenzionato di eseguire codice arbitrario nel contesto dell'utente attuale in Internet Explorer. Un utente malintenzionato potrebbe pubblicare siti Web appositamente predisposti per sfruttare la vulnerabilità tramite Internet Explorer e quindi convincere un utente a visualizzarli.

Una volta completata l'analisi, Microsoft intraprenderà un'azione appropriata per proteggere i clienti, che potrà includere una soluzione fornita tramite il normale processo di rilascio mensile degli aggiornamenti per la protezione o un aggiornamento per la protezione integrativo, sulla base delle esigenze dei clienti.

Tramite il programma Microsoft Active Protections Program (MAPP) stiamo collaborando attivamente con i nostri partner per fornire loro informazioni da utilizzare per offrire maggiore protezione ai clienti. Stiamo inoltre collaborando con i nostri partner per garantire un continuo monitoraggio dei pericoli e intraprendere misure adeguate per contrastare i siti dannosi che tentano di sfruttare questa vulnerabilità.

Microsoft consiglia ai clienti di seguire le indicazioni disponibili in Microsoft Safety & Security Center per attivare un firewall, applicare tutti gli aggiornamenti software e installare software antivirus e antispyware.

Fattori attenuanti:

  • Per impostazione predefinita, Internet Explorer in Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2 viene eseguito in una modalità limitata denominata Protezione avanzata. Questa modalità consente di ridurre i rischi correlati a questa vulnerabilità.
  • Per impostazione predefinita, tutte le versioni supportate di Microsoft Outlook, Microsoft Outlook Express e Windows Mail aprono i messaggi di posta elettronica in formato HTML nell'area Siti con restrizioni. L'area Siti con restrizioni, che disattiva lo script e i controlli ActiveX, aiuta a ridurre il rischio di sfruttamento della vulnerabilità da parte di un utente malintenzionato per eseguire il codice dannoso. Se si fa clic su un collegamento presente in un messaggio di posta elettronica, tale vulnerabilità può ancora sussistere con le modalità descritte nello scenario di attacco dal Web.
  • Sfruttando questa vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente dell'utente corrente. Pertanto, gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione.
  • In uno scenario di attacco dal Web, l'utente malintenzionato potrebbe pubblicare un sito Web contenente una pagina utilizzata per sfruttare tale vulnerabilità. Inoltre, i siti Web manomessi e quelli che accettano o ospitano contenuti o annunci pubblicitari forniti dagli utenti potrebbero presentare contenuti appositamente predisposti per sfruttare questa vulnerabilità. In tutti questi casi, comunque, non è in alcun modo possibile obbligare gli utenti a visitare questi siti Web. L'utente malintenzionato deve invece convincere le vittime a visitare il sito Web, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito.

Raccomandazione. Per ulteriori informazioni, consultare la sezione Interventi consigliati di questo advisory.

Dettagli sull'advisory

Documentazione di riferimento per il problema

Per ulteriori informazioni su questo problema, vedere la seguente documentazione di riferimento:

RiferimentiIdentificazione
Riferimento CVE CVE-2012-4969

Software interessato e Software non interessato

In questo advisory vengono presi in esame i seguenti prodotti software.

Software interessato

Sistema operativoComponente
Internet Explorer 6
Windows XP Service Pack 3Internet Explorer 6
Windows XP Professional x64 Edition Service Pack 2Internet Explorer 6
Windows Server 2003 Service Pack 2Internet Explorer 6
Windows Server 2003 x64 Edition Service Pack 2Internet Explorer 6
Windows Server 2003 con SP2 per sistemi ItaniumInternet Explorer 6
Internet Explorer 7
Windows XP Service Pack 3Internet Explorer 7
Windows XP Professional x64 Edition Service Pack 2Internet Explorer 7
Windows Server 2003 Service Pack 2Internet Explorer 7
Windows Server 2003 x64 Edition Service Pack 2Internet Explorer 7
Windows Server 2003 con SP2 per sistemi ItaniumInternet Explorer 7
Windows Vista Service Pack 2Internet Explorer 7
Windows Vista x64 Edition Service Pack 2Internet Explorer 7
Windows Server 2008 per sistemi a 32 bit Service Pack 2Internet Explorer 7
Windows Server 2008 per sistemi x64 Service Pack 2Internet Explorer 7
Windows Server 2008 per sistemi Itanium Service Pack 2Internet Explorer 7
Internet Explorer 8
Windows XP Service Pack 3Internet Explorer 8
Windows XP Professional x64 Edition Service Pack 2Internet Explorer 8
Windows Server 2003 Service Pack 2Internet Explorer 8
Windows Server 2003 x64 Edition Service Pack 2Internet Explorer 8
Windows Vista Service Pack 2Internet Explorer 8
Windows Vista x64 Edition Service Pack 2Internet Explorer 8
Windows Server 2008 per sistemi a 32 bit Service Pack 2Internet Explorer 8
Windows Server 2008 per sistemi x64 Service Pack 2Internet Explorer 8
Windows 7 per sistemi 32-bit Internet Explorer 8
Windows 7 per sistemi a 32 bit Service Pack 1Internet Explorer 8
Windows 7 per sistemi x64 Internet Explorer 8
Windows 7 per sistemi x64 Service Pack 1Internet Explorer 8
Windows Server 2008 R2 per sistemi x64 Internet Explorer 8
Windows Server 2008 R2 per sistemi x64 Service Pack 1Internet Explorer 8
Windows Server 2008 R2 per sistemi Itanium Internet Explorer 8
Windows Server 2008 R2 per sistemi Itanium Service Pack 1Internet Explorer 8
Internet Explorer 9
Windows Vista Service Pack 2Internet Explorer 9
Windows Vista x64 Edition Service Pack 2Internet Explorer 9
Windows Server 2008 per sistemi a 32 bit Service Pack 2Internet Explorer 9
Windows Server 2008 per sistemi x64 Service Pack 2Internet Explorer 9
Windows 7 per sistemi 32-bit Internet Explorer 9
Windows 7 per sistemi a 32 bit Service Pack 1Internet Explorer 9
Windows 7 per sistemi x64 Internet Explorer 9
Windows 7 per sistemi x64 Service Pack 1Internet Explorer 9
Windows Server 2008 R2 per sistemi x64 Internet Explorer 9
Windows Server 2008 R2 per sistemi x64 Service Pack 1Internet Explorer 9

Software non interessato

Sistema operativoComponente
Internet Explorer 10
Windows 8 per sistemi a 32 bit Internet Explorer 10
Windows 8 per sistemi a 64 bit Internet Explorer 10
Windows Server 2012 Internet Explorer 10
Installazione Server Core
Windows Server 2008 per sistemi a 32 bit Service Pack 2 (installazione Server Core)Non applicabile
Windows Server 2008 per sistemi x64 Service Pack 2 (installazione Server Core)Non applicabile
Windows Server 2008 R2 per sistemi x64 (installazione Server Core)Non applicabile
Windows Server 2008 R2 per sistemi x64 Service Pack 1 (installazione Server Core)Non applicabile
Windows Server 2012 (installazione Server Core)Non applicabile

Perché Microsoft ha rivisto il bollettino in data 19 settembre 2012 ?
Microsoft ha rivisto questo advisory per comunicare la disponibilità di una soluzione Microsoft Fix it "Evitare il danneggiamento della memoria tramite ExecCommand in Internet Explorer" che previene lo sfruttamento del problema. Vedere l'articolo della Microsoft Knowledge Base 2757760 per utilizzare la soluzione Microsoft Fix it.

Qual è lo scopo di questo advisory?
Microsoft è a conoscenza di una nuova vulnerabilità che interessa Internet Explorer 6, Internet Explorer 7, Internet Explorer 8 e Internet Explorer 9.

Il problema descritto è una vulnerabilità a livello di sicurezza che richiede la pubblicazione di un aggiornamento Microsoft?
Una volta completata l'analisi, Microsoft intraprenderà un'azione appropriata per proteggere i clienti, che potrà includere una soluzione fornita tramite il normale processo di rilascio mensile degli aggiornamenti per la protezione o un aggiornamento per la protezione integrativo, sulla base delle esigenze dei clienti.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?
Sfruttando questa vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente dell'utente corrente. Se l'utente attuale è connesso con privilegi di amministratore, un utente malintenzionato che sfrutti questa vulnerabilità può assumere il controllo completo del sistema interessato. Potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

In quale modo un utente malintenzionato può sfruttare questa vulnerabilità?
Un utente malintenzionato potrebbe pubblicare siti Web appositamente predisposti per sfruttare la vulnerabilità tramite Internet Explorer e quindi convincere un utente a visualizzarli. L'utente malintenzionato può inoltre servirsi di siti Web manomessi e di siti Web che accettano o pubblicano contenuti o annunci pubblicitari inviati da altri utenti. Questi siti Web possono includere contenuti appositamente predisposti in grado di sfruttare questa vulnerabilità. Tuttavia, in nessuno di questi casi un utente malintenzionato può obbligare gli utenti a visualizzare il contenuto controllato dall'utente malintenzionato. L'utente malintenzionato deve invece convincere gli utenti a compiere un'azione, in genere inducendoli a fare clic su un collegamento contenuto in un messaggio di posta elettronica o in un messaggio di Instant Messenger che li reindirizza al sito Web dell'utente malintenzionato oppure ad aprire un allegato inviato mediante un messaggio di posta elettronica.

Si esegue Internet Explorer per Windows Server 2003, Windows Server 2008, o Windows Server 2008 R2. Il problema ha una portata più limitata?
Sì. Per impostazione predefinita, Internet Explorer in Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2 viene eseguito in una modalità limitata denominata Protezione avanzata. La configurazione Protezione avanzata è costituita da un gruppo di impostazioni di Internet Explorer preconfigurate che riduce la probabilità che un utente o un amministratore scarichi ed esegua contenuto Web appositamente predisposto in un server. Questo è un fattore attenuante per i siti Web che non sono stati aggiunti all'area Siti attendibili di Internet Explorer.

Cos'è Enhanced Mitigation Experience Toolkit v3.0 (EMET)?
L'Enhanced Mitigation Experience Toolkit (EMET) è un'utilità che aiuta a impedire le vulnerabilità del software grazie alle tecnologie di riduzione dei rischi. Le tecnologie fungono da speciali protezioni e ostacoli che un utente malintenzionato deve sconfiggere per sfruttare le vulnerabilità del software. Queste tecnologie di riduzione dei rischi non garantiscono che le vulnerabilità non possono essere sfruttate, ma rendono lo sfruttamento il più difficile possibile. In molti casi, uno sfruttamento completamente funzionale che può ignorare l'EMET potrebbe non essere mai sviluppato. Per ulteriori informazioni, vedere l'articolo della Microsoft Knowledge Base 2458544.

EMET aiuta a contrastare gli attacchi che tentano di sfruttare questa vulnerabilità ?
Sì. Enhanced Mitigation Experience Toolkit (EMET) aiuta a contrastare lo sfruttamento di questa vulnerabilità aggiungendo strati di protezione aggiuntivi che ne rendono più difficile lo sfruttamento. EMET è un'utilità che contribuisce ad evitare che vengano sfruttate le vulnerabilità nel software per ottenere l'esecuzione di codice, applicando le tecnologie di riduzione dei rischi più recenti. Al momento, EMET viene fornito con supporto limitato ed è disponibile solo in lingua inglese. Per ulteriori informazioni, vedere l'articolo della Microsoft Knowledge Base 2458544.

Cos'è la funzionalità ASLR (Address Space Layout Randomization)?
I sistemi che utilizzano ASLR (Address Space Layout Randomization) trasferiscono in modo pseudo-casuale i punti di accesso delle funzioni che normalmente sono allocati in modo prevedibile. La funzionalità ASLR di Windows sposta in modo casuale le DLL o i file eseguibili in una delle 256 celle di memoria. In questo modo, gli utenti malintenzionati che utilizzano indirizzi codificati hanno una probabilità su 256 di individuare la porzione di memoria esatta. Per ulteriori informazioni su ASLR, consultare l'articolo del TechNet Magazine, Il kernel di Windows Vista: Parte 3.

Applicazione di soluzioni alternative

Per soluzione alternativa si intende un'impostazione o una modifica nella configurazione che non elimina il problema indicato, ma consente di bloccare i vettori di attacco noti prima che venga messo a disposizione un aggiornamento per la protezione. Consultare la prossima sezione, Soluzioni Alternative, per ulteriori informazioni.

Soluzioni alternative

  • Applicare la soluzione Microsoft Fix it , " Evitare il danneggiamento della memoria tramite ExecCommand in Internet Explorer ", che previene lo sfruttamento del problema.

    Vedere l'articolo della Microsoft Knowledge Base 2757760 al fine di utilizzare la soluzione Microsoft Fix it per attivare o disattivare questa soluzione alternativa.

  • Implementazione di Enhanced Mitigation Experience Toolkit (EMET)

    Enhanced Mitigation Experience Toolkit (EMET) è un'utilità che aiuta a impedire le vulnerabilità nel software applicando fattori attenuanti di base, ad esempio DEP, alle applicazioni configurate in EMET.

    Al momento, EMET viene fornito con supporto limitato ed è disponibile solo in lingua inglese. Per ulteriori informazioni, vedere l'articolo della Microsoft Knowledge Base 2458544.

    Per ulteriori informazioni sulla configurazione di EMET, consultare il manuale per l'utente di EMET:

    • Sui sistemi a 32 bit il manuale per l'utente di EMET si trova in C:\Programmi\EMET\EMET User's Guide.pdf
    • Sui sistemi a 64 bit il manuale per l'utente di EMET si trova in C:\Programmi (x86)\EMET\EMET User's Guide.pdf

    Configurare EMET per Internet Explorer dall'interfaccia utente EMET

    Per aggiungere iexplore.exe all'elenco delle applicazioni utilizzando EMET, eseguire la procedura seguente:

    1. Fare clic su Start, Tutti i programmi, Enhanced Mitigation Experience Toolkit ed EMET 3.0.
    2. Fare clic su Yes nella richiesta UAC, quindi fare clic su Configure Apps e selezionare Add. Accedere all'applicazione da configurare in EMET.
    3. Sulle versioni a 64 bit di Microsoft Windows, i percorsi a 32 bit e le installazioni x64 di Internet Explorer sono:

      C:\Programmi (x86)\Internet Explorer\iexplore.exe

      C:\Programmi\Internet Explorer\iexplore.exe

      Sulle versioni a 32 bit di Microsoft Windows, il percorso a Internet Explorer è:

      C:\Programmi\Internet Explorer\iexplore.exe

    4. Fare clic OK e chiudere EMET.

    Configurazione di EMET per Internet Explorer da una riga di comando

    • Utilizzare Internet Explorer per tutti i fattori attenuanti di EMET 3.0
    • Sui sistemi a 64 bit, per le installazioni a 32 bit di IE digitare quanto segue da un prompt dei comandi con privilegi elevati:

      "c:\Programmi (x86)\EMET\EMET_Conf.exe" --set "c:\Programmi (x86)\Internet Explorer\iexplore.exe"

      Mentre sui sistemi a 64 bit, per le installazioni x64 di IE digitare quanto segue da un prompt dei comandi con privilegi elevati:

      "c:\Programmi (x86)\EMET\EMET_Conf.exe" --set "c:\Programmi\Internet Explorer\iexplore.exe"

    • Sui sistemi a 32 bit, per le installazioni a 32 bit di IE digitare quanto segue da un prompt dei comandi con privilegi elevati:

      "c:\Programmi\EMET\EMET_Conf.exe" --set "c:\Programmi\Internet Explorer\iexplore.exe"

    • Se il comando viene eseguito correttamente, viene visualizzato il seguente messaggio:

      "The changes you have made may require restarting one or more applications"

    • Se l'applicazione è stata già aggiunta in EMET, viene visualizzato il seguente messaggio:

      Errore: "c:\Programmi (x86)\Internet Explorer\iexplore.exe" conflicts with existing entry for "C:\Programmi (x86)\Internet Explorer\iexplore.exe"

    • Per ulteriori informazioni relative all'esecuzione di EMET_Conf.exe, consultare la guida della riga di comando eseguendo quanto riportato sotto da un prompt dei comandi.

      Sui sistemi a 32 bit:

      "C:\Programmi\EMET\EMET_Conf.exe" /?

      Sui sistemi a 64 bit:

      "C:\Programmi (x86)\EMET\EMET_Conf.exe" /?

    Configurare EMET per Internet Explorer tramite Criteri di gruppo

    È possibile configurare EMET tramite Criteri di gruppo. Per informazioni sulla configurazione di EMET tramite Criteri di gruppo, consultare il manuale per l'utente di EMET:

    • Sui sistemi a 32 bit il manuale per l'utente di EMET si trova in C:\Programmi\EMET\EMET User's Guide.pdf
    • Sui sistemi a 64 bit il manuale per l'utente di EMET si trova in C:\Programmi (x86)\EMET\EMET User's Guide.pdf

    Nota Per informazioni sui Criteri di gruppo, consultare Insiemi di Criteri di gruppo.

  • Impostare il livello dell'area di protezione Internet e Intranet locale su "Alta" per bloccare i controlli ActiveX e script attivo in queste aree

    È possibile contribuire a una protezione più efficace del sistema dai rischi connessi a questa vulnerabilità, modificando le impostazioni relative all'area di protezione Internet in modo che i controlli ActiveX e lo script attivo vengano bloccati. Tale operazione può essere eseguita impostando la protezione del browser su Alta.

    Per alzare il livello di protezione del brower in Internet Explorer, attenersi alla seguente procedura:

    1. Dal menu Strumenti di Internet Explorer, scegliere Opzioni Internet.
    2. Nella finestra di dialogo Opzioni Internet, fare clic sulla scheda Protezione, quindi su Internet.
    3. In Livello di protezione per l'area, spostare il dispositivo di scorrimento su Alta. Il livello di protezione per tutti i siti Web visitati viene così impostato su Alta.
    4. Fare clic su Intranet locale.
    5. In Livello di protezione per l'area, spostare il dispositivo di scorrimento su Alta. Il livello di protezione per tutti i siti Web visitati viene così impostato su Alta.
    6. Fare clic su OK per confermare le modifiche e tornare a Internet Explorer.

    Nota Se il dispositivo di scorrimento non è visibile, fare clic su Livello predefinito, quindi spostare il dispositivo di scorrimento su Alta.

    Nota Con l'impostazione della protezione su Alta, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si riscontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente anche quando la protezione è impostata su Alta.

    Impatto della soluzione alternativa. Il blocco dei controlli ActiveX e di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o su una rete Intranet utilizzano ActiveX o Script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare controlli ActiveX per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. Il blocco dei controlli ActiveX o script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se non si desidera che i controlli ActiveX o script attivo vengano bloccati in tali siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

    Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

    Dopo l'impostazione della richiesta di blocco dei controlli ActiveX e dello script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi da siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

    A tale scopo, utilizzare la seguente procedura:

    1. In Internet Explorer, scegliere Opzioni Internet dal menu Strumenti e fare clic sulla scheda Protezione.
    2. Nella sezione Selezionare un'area di contenuto Web per specificare le relative impostazioni di protezione, fare clic su Siti attendibili, quindi su Siti.
    3. Se si desidera aggiungere siti che non richiedono un canale crittografato, fare clic per deselezionare la casella di controllo Richiedi verifica server (https:) per tutti i siti dell'area.
    4. Nella casella Aggiungi il sito Web all'area, aggiungere l'URL del sito desiderato, quindi fare clic sul pulsante Aggiungi.
    5. Ripetere la procedura per ogni sito da aggiungere all'area.
    6. Fare due volte clic su OK per confermare le modifiche e tornare a Internet Explorer.

    Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul sistema. In particolare è utile aggiungere i due siti *.windowsupdate.microsoft.com e *.update.microsoft.com, ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

  • Configurare Internet Explorer in modo che venga richiesta conferma prima dell'esecuzione di script attivo oppure disattivare tali script nell'area di protezione Internet e Intranet locale

    È possibile contribuire a una protezione più efficace del sistema dai rischi connessi a questa vulnerabilità modificando le impostazioni in modo che venga richiesta conferma prima di eseguire script attivo o vengano disattivati tali script nell'area di protezione Internet e Intranet locale. A tale scopo, utilizzare la seguente procedura:

    1. In Internet Explorer, scegliere Opzioni Internet dal menu Strumenti.
    2. Selezionare la scheda Protezione.
    3. Selezionare Internet e fare clic sul pulsante Livello personalizzato.
    4. Nella sezione Esecuzione script dell'elenco Impostazioni, selezionare Esecuzione script attivo, quindi fare clic su Chiedi confermao Disattiva e su OK.
    5. Selezionare Intranet locale, quindi fare clic sul pulsante Livello personalizzato.
    6. Nella sezione Esecuzione script dell'elenco Impostazioni, selezionare Esecuzione script attivo, quindi fare clic su Chiedi confermao Disattiva e su OK.
    7. Fare due volte clic su OK per tornare a Internet Explorer.

    Nota Se si disattiva Esecuzione script attivo nelle aree di protezione Internet e Intranet locale, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si riscontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente.

    Impatto della soluzione alternativa. La visualizzazione di una richiesta di conferma prima dell'esecuzione di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o su una rete Intranet utilizzano l'opzione Script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare script attivo per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su per consentire l'esecuzione di script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

    Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

    Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi da siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

    A tale scopo, utilizzare la seguente procedura:

    1. In Internet Explorer, scegliere Opzioni Internet dal menu Strumenti e fare clic sulla scheda Protezione.
    2. Nella sezione Selezionare un'area di contenuto Web per specificare le relative impostazioni di protezione, fare clic su Siti attendibili, quindi su Siti.
    3. Se si desidera aggiungere siti che non richiedono un canale crittografato, fare clic per deselezionare la casella di controllo Richiedi verifica server (https:) per tutti i siti dell'area.
    4. Nella casella Aggiungi il sito Web all'area, aggiungere l'URL del sito desiderato, quindi fare clic sul pulsante Aggiungi.
    5. Ripetere la procedura per ogni sito da aggiungere all'area.
    6. Fare due volte clic su OK per confermare le modifiche e tornare a Internet Explorer.

    Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul sistema. In particolare è utile aggiungere i due siti *.windowsupdate.microsoft.com e *.update.microsoft.com, ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Ulteriori interventi consigliati

  • Tenere il software di terze parti aggiornato

    I codici dannosi attualmente conosciuti che sfruttano questa vulnerabilità in Internet Explorer utilizzano software di terze parti, incluso Java di Oracle, per poter sfruttare codice affidabile. Consultare le indicazioni di Oracle riguardanti Java:

    Dove è possibile trovare la versione più recente di Java 6?

    Che cos'è Aggiornamento Java?

    Perché è necessario rimuovere le versioni precedenti di Java dal sistema?

  • Proteggere il proprio PC

    Microsoft consiglia di seguire le indicazioni disponibili in Proteggi il tuo Computer per attivare un firewall, acquisire aggiornamenti software e installare software antivirus. Per ulteriori informazioni, vedere Microsoft Safety & Security Center.

  • Tenere il software Microsoft aggiornato

    Si consiglia a tutti gli utenti dei software Microsoft di applicare gli ultimi aggiornamenti per la protezione Microsoft al fine di garantire la massima sicurezza del computer. Per verificare se il software è aggiornato, visitare il sito Microsoft Update, per eseguire la scansione del computer e installare eventuali aggiornamenti ad alta priorità. Se l'aggiornamento automatico è attivato e configurato per fornire aggiornamenti dei prodotti Microsoft, gli aggiornamenti vengono forniti quando sono rilasciati, ma è necessario verificare che sono installati.

Altre informazioni

Microsoft Active Protections Program (MAPP)

Per migliorare il livello di protezione offerto ai clienti, Microsoft fornisce ai principali fornitori di software di protezione i dati relativi alle vulnerabilità in anticipo rispetto alla pubblicazione mensile dell'aggiornamento per la protezione. I fornitori di software di protezione possono servirsi di tali dati per fornire ai clienti delle protezioni aggiornate tramite software o dispositivi di protezione, quali antivirus, sistemi di rilevamento delle intrusioni di rete o sistemi di prevenzione delle intrusioni basati su host. Per verificare se tali protezioni attive sono state rese disponibili dai fornitori di software di protezione, visitare i siti Web relativi alle protezioni attive pubblicati dai partner del programma, che sono elencati in Microsoft Active Protections Program (MAPP) Partners.

Commenti e suggerimenti

Supporto

Dichiarazione di non responsabilità

Le informazioni disponibili in questo advisory sono fornite "come sono" senza garanzie di alcun tipo. Microsoft non rilascia alcuna garanzia, esplicita o implicita, inclusa la garanzia di commerciabilità e di idoneità per uno scopo specifico. Microsoft Corporation o i suoi fornitori non saranno, in alcun caso, responsabili per danni di qualsiasi tipo, inclusi i danni diretti, indiretti, incidentali, consequenziali, la perdita di profitti e i danni speciali, anche qualora Microsoft Corporation o i suoi fornitori siano stati informati della possibilità del verificarsi di tali danni. Alcuni stati non consentono l'esclusione o la limitazione di responsabilità per danni diretti o indiretti e, dunque, la sopracitata limitazione potrebbe non essere applicabile.

Versioni

  • V1.0 (17 settembre 2012): Pubblicazione dell'advisory.
  • V1.1 (18 settembre 2012): Questa vulnerabilità è stata identificata con il codice CVE-2012-4969. Inoltre, sono state aggiunte istruzioni corrette nelle soluzioni alternative di EMET.
  • V1.2 (19 settembre 2012): È stato aggiunto il collegamento alla soluzione Microsoft Fix it "Evitare il danneggiamento della memoria tramite ExecCommand in Internet Explorer" che previene lo sfruttamento del problema.

Built at 2014-04-18T01:50:00Z-07:00

Il documento è risultato utile?
(1500 caratteri rimanenti)
Grazie per i commenti inviati.
Microsoft sta conducendo un sondaggio in linea per comprendere l'opinione degli utenti in merito al sito Web di MSDN. Se si sceglie di partecipare, quando si lascia il sito Web di MSDN verrà visualizzato il sondaggio in linea.

Si desidera partecipare?
Mostra:
© 2015 Microsoft