Avviso di sicurezza

Microsoft Security Advisory 953839

Aggiornamento cumulativo per i bit di terminazione ActiveX

Pubblicato: 12 agosto 2008 | Aggiornato: 11 marzo 2009

Versione: 1.3

Microsoft sta rilasciando un nuovo set di bit di terminazione ActiveX con questo avviso.

L'aggiornamento include bit di terminazioni per il software di terze parti seguente:

• Aurigma Image Uploader. Aurigma ha rilasciato un avviso e un aggiornamento che risolve le vulnerabilità. Per altre informazioni, vedere l'avviso di Aurigma. Questi bit di terminazione vengono impostati alla richiesta del proprietario del controllo ActiveX. I clienti che richiedono supporto devono contattare Aurigma. Gli identificatori di classe (CLSID) per questo controllo ActiveX sono elencati nella sezione Domande frequenti di questo avviso.
• Supporto immediato hp. HP ha emesso 2 avvisi, (c01422264) e (c01439758) e un aggiornamento che risolve queste vulnerabilità. Per altre informazioni e percorsi di download, vedere gli avvisi di HP. Questi bit di terminazione vengono impostati alla richiesta del proprietario del controllo ActiveX. I clienti che richiedono supporto devono contattare HP. Gli identificatori di classe (CLSID) per questo controllo ActiveX sono elencati nella sezione Domande frequenti di questo avviso.

Per altre informazioni sull'installazione di questo aggiornamento, vedere l'articolo della Microsoft Knowledge Base 953839.

Informazioni generali

Panoramica

Scopo dell'avviso: notifica della disponibilità di un aggiornamento dei bit di terminazione ActiveX.

Stato avviso: l'articolo della Microsoft Knowledge Base e l'aggiornamento associato sono stati rilasciati.

Raccomandazione: esaminare l'articolo della Knowledge Base di riferimento e applicare l'aggiornamento appropriato.

Questo avviso illustra il software seguente.

Domande frequenti

Questo aggiornamento sostituisce l'aggiornamento cumulativo della sicurezza dei bit di terminazioni ActiveX (950760)?
No, ai fini dell'aggiornamento automatico, questo aggiornamento non sostituisce l'aggiornamento cumulativo della sicurezza di ActiveX Kill Bits (950760) descritto nel Bollettino sulla sicurezza Microsoft MS08-032. L'aggiornamento automatico offrirà comunque l'aggiornamento MS08-032 ai clienti indipendentemente dal fatto che abbiano installato o meno questo aggiornamento (953839). Tuttavia, i clienti che installano questo aggiornamento (953839) non devono installare l'aggiornamento MS08-032 per essere protetti con tutti i bit di terminazioni impostati in MS08-032.

Gli utenti con un'installazione di Windows Server 2008 Server Core devono installare questo aggiornamento?
Agli utenti con un'installazione di Windows Server 2008 Server Core verrà offerto questo aggiornamento, ma non è necessario installarlo. Per altre informazioni sull'opzione di installazione Server Core, vedere Server Core. Si noti che l'opzione di installazione Server Core non si applica a determinate edizioni di Windows Server 2008; vedere Confrontare le opzioni di installazione dei componenti di base del server.

Perché Microsoft rilascia questo aggiornamento cumulativo per i bit di terminazione ActiveX con un avviso di sicurezza quando sono stati rilasciati gli aggiornamenti del bit di terminazione precedenti con un bollettino sulla sicurezza?
Microsoft sta rilasciando questo aggiornamento cumulativo per i bit di terminazione ActiveX con un avviso perché i nuovi bit di terminazione non influiscono sul software Microsoft.

Perché questo avviso non dispone di una classificazione di sicurezza associata?
Questo aggiornamento contiene bit di terminazioni per i controlli di terze parti non di proprietà di Microsoft. Microsoft non fornisce una classificazione di sicurezza per i controlli vulnerabili di terze parti.

Questo aggiornamento contiene bit di terminazioni rilasciati in precedenza in un aggiornamento cumulativo della sicurezza dei bit di terminazioni ActiveX?
Sì, questo aggiornamento include anche i bit di interruzione impostati in precedenza nel bollettino microsoft sulla sicurezza MS08-032.

Questo aggiornamento contiene bit di terminazione forniti in precedenza in un aggiornamento della sicurezza di Internet Explorer?
No, questo aggiornamento non include i bit di terminazione forniti in precedenza in un aggiornamento della sicurezza di Internet Explorer. È consigliabile installare l'aggiornamento cumulativo della sicurezza più recente per Internet Explorer.

Che cos'è un po' di morte?
Una funzionalità di sicurezza in Microsoft Internet Explorer consente di impedire il caricamento di un controllo ActiveX dal motore di rendering HTML di Internet Explorer. Questa operazione viene eseguita impostando un'impostazione del Registro di sistema e viene definita impostazione del bit kill. Dopo aver impostato il bit di interruzione, il controllo non può mai essere caricato, anche quando è completamente installato. L'impostazione del bit di terminazione garantisce che, anche se un componente vulnerabile viene introdotto o introdotto nuovamente in un sistema, rimane inert e innocuo.

Per altre informazioni, vedere l'articolo della Microsoft Knowledge Base 240797: Come arrestare l'esecuzione di un controllo ActiveX in Internet Explorer.

Che cos'è un aggiornamento della sicurezza dei bit di terminazioni ActiveX?
Questo aggiornamento della sicurezza contiene solo gli ID classe (CLSID) di determinati controlli ActiveX che costituiscono la base di questo aggiornamento della sicurezza.

Perché questo aggiornamento non contiene file binari?
Questo aggiornamento apporta solo modifiche al Registro di sistema per disabilitare l'istanza del controllo in Internet Explorer.

È necessario installare questo aggiornamento se il componente interessato non è installato o se si usa la piattaforma interessata?
Sì. L'installazione di questo aggiornamento impedirà l'esecuzione del controllo vulnerabile in Internet Explorer.

È necessario riapplicare questo aggiornamento se si installa un controllo ActiveX descritto in questo aggiornamento della sicurezza in un secondo momento?
No, riapplicare questo aggiornamento non è obbligatorio. Il bit kill impedisce a Internet Explorer di eseguire il controllo anche se il controllo è installato in un secondo momento.

Cosa fa questo aggiornamento?
Questo aggiornamento imposta il bit di terminazione per un elenco di identificatori di classe (CLSID).

Gli identificatori di classe seguenti sono correlati a una richiesta di Aurigma per eliminare un elenco di identificatori di classe vulnerabili. Altri dettagli sono disponibili nell'avviso rilasciato da Aurigma:

Gli identificatori di classe seguenti sono correlati a una richiesta da HP per terminare un elenco di identificatori di classe vulnerabili. Altri dettagli sono disponibili negli avvisi (c01422264) e (c01439758) rilasciati da HP:

Azioni suggerite

Esaminare l'articolo della Microsoft Knowledge Base associato a questo avviso

Microsoft incoraggia i clienti a installare questo aggiornamento. I clienti interessati a saperne di più su questo aggiornamento devono consultare l'articolo della Microsoft Knowledge Base 953839.

Soluzioni alternative

La soluzione alternativa si riferisce a un'impostazione o a una modifica della configurazione che non corregge la vulnerabilità sottostante, ma che consente di bloccare i vettori di attacco noti prima di applicare l'aggiornamento. Microsoft ha testato le soluzioni alternative e gli stati seguenti nella discussione se una soluzione alternativa riduce le funzionalità:

• Impedire l'esecuzione di oggetti COM in Internet Explorer
  È possibile disabilitare i tentativi di creare un'istanza di un oggetto COM in Internet Explorer impostando il bit di terminazione per il controllo nel Registro di sistema.

  Avviso Se si usa l'editor del Registro di sistema in modo errato, è possibile che si verifichino gravi problemi che potrebbero richiedere di reinstallare il sistema operativo. Microsoft non può garantire che sia possibile risolvere i problemi derivanti dall'uso non corretto dell'editor del Registro di sistema. Utilizzare l'editor del Registro di sistema a proprio rischio.

  Per i passaggi dettagliati che è possibile usare per impedire l'esecuzione di un controllo in Internet Explorer, vedere l'articolo della Microsoft Knowledge Base 240797. Seguire la procedura descritta in questo articolo per creare un valore di Flag di compatibilità nel Registro di sistema per impedire che un oggetto COM venga creata un'istanza in Internet Explorer.

  Nota Gli identificatori di classe e i file corrispondenti in cui sono contenuti gli oggetti ActiveX sono documentati in "Cosa fa questo aggiornamento?" nella sezione domande frequenti precedente. Sostituire {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXXXXX} di seguito con gli identificatori di classe disponibili in questa sezione.

  Per impostare il bit kill per un CLSID con il valore {XXXXXXXX-XXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}, incollare il testo seguente in un editor di testo, ad esempio Blocco note. Salvare quindi il file usando l'estensione .reg nome file.

  Editor del Registro di sistema di Windows versione 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{ XXXXXXXX-XXXX-XXXX-XXXXXXXXXXXX }] "Flag di compatibilità"=dword:00000400

  È possibile applicare questo file .reg ai singoli sistemi facendo doppio clic su di esso. È anche possibile applicarlo tra domini usando Criteri di gruppo. Per altre informazioni su Criteri di gruppo, visitare i siti Web Microsoft seguenti:

  • Raccolta di Criteri di gruppo
  • Che cos'è Editor oggetti Criteri di gruppo?
  • Impostazioni e strumenti di Criteri di gruppo di base

  Nota Per rendere effettive le modifiche, devi riavviare Internet Explorer.

  Impatto della soluzione alternativa: non vi è alcun impatto finché l'oggetto non deve essere usato in Internet Explorer.

Altre informazioni

Risorse:

• È possibile fornire commenti e suggerimenti completando il modulo visitando la Guida e il supporto tecnico Microsoft: Contattaci.
• I clienti del Stati Uniti e del Canada possono ricevere supporto tecnico dai servizi di supporto tecnico Microsoft. Per altre informazioni sulle opzioni di supporto disponibili, vedere Guida e supporto tecnico Microsoft.
• I clienti internazionali possono ricevere supporto dalle filiali Microsoft locali. Per altre informazioni su come contattare Microsoft per problemi di supporto internazionale, visitare il supporto internazionale.
• Microsoft TechNet Security fornisce informazioni aggiuntive sulla sicurezza nei prodotti Microsoft.

Declinazione di responsabilità:

Le informazioni fornite in questo avviso vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.

Revisioni:

• V1.0 (12 agosto 2008): Avviso pubblicato.
• V1.1 (13 agosto 2008): aggiornato per includere collegamenti agli avvisi di HP.
• V1.2 (25 novembre 2008): aggiunta di una voce alle domande frequenti per comunicare che gli utenti con l'installazione di Windows Server 2008 Server Core saranno comunque offerti, ma non è necessario installare questo aggiornamento.
• V1.3 (11 marzo 2009): aggiunta di una voce alle domande frequenti per comunicare che ai fini dell'aggiornamento automatico, questo aggiornamento non sostituisce l'aggiornamento cumulativo della sicurezza di ActiveX Kill Bits (950760) descritto nel Bollettino sulla sicurezza Microsoft MS08-032.

Costruito al 2014-04-18T13:49:36Z-07:00