Advisory Microsoft sulla sicurezza (899588)
Una vulnerabilità nel servizio Plug and Play può consentire l'esecuzione di codice in modalità remota e l'acquisizione di privilegi più elevati.
Microsoft sta analizzando attivamente e fornendo informazioni su un worm dannoso identificato come "Worm:Win32/Zotob.A" e sulle relative varianti attualmente diffuse su Internet. Il worm costituisce un attacco dannoso che sfrutta la vulnerabilità di Windows Plug and Play descritta nel Bollettino Microsoft sulla sicurezza MS05-039 il 9 agosto 2005.
Una prima fase di ricerca ha stabilito che il worm attacca in remoto i sistemi Windows 2000. Per ulteriori informazioni su questo worm, per verificare se il sistema è stato infettato e per istruzioni sulle procedure da adottare per il ripristino, visitare il sito Web sugli incidenti relativi alla sicurezza Zotob oppure consultare la Virus Encyclopedia di Microsoft (Worm:Win32/Zotob.A, Worm:Win32/Zotob.B).
Altre versioni di Windows, tra cui Windows XP Service Pack 2 e Windows Server 2003 non sono interessate da "Worm:Win32/Zotob.A" e dalle sue varianti, a meno che i sistemi non siano già stati compromessi da altro software dannoso. È possibile proteggersi dagli attacchi avvalendosi di questa vulnerabilità e installando gli aggiornamenti per la protezione forniti immediatamente dal bollettino Microsoft sulla sicurezza MS05-039. Il bollettino sulla sicurezza MS05-039 è disponibile sul seguente sito Web.
Microsoft effettua la propria ricerca in questa azione dannosa in modo continuo per capire come poter fornire supporto ai clienti. Stiamo lavorando a stretto contatto con i nostri partner antivirus e aiutando le autorità competenti nella loro ricerca.
Microsoft è a conoscenza del fatto che diverse versioni del codice dannoso dettagliato sono già state pubblicate su Internet per la vulnerabilità, descritta nel Bollettino Microsoft sulla sicurezza MS05-039: Una vulnerabilità nel servizio Plug and Play può consentire l'esecuzione di codice in modalità remota e l'acquisizione di privilegi più elevati (899588). Vedere la sezione "Panoramica" per riferimenti ai siti Web che contengono ulteriori informazioni su questo worm Internet.
La ricerca condotta sul codice dannoso ha accertato che i sistemi con installati gli aggiornamenti descritti in MS05-039 non sono interessati dal problema. Microsoft consiglia di applicare gli aggiornamenti ai prodotti interessati abilitando la funzione degli Aggiornamenti automatici in Windows.
Microsoft è spiacente che alcuni ricercatori di sicurezza abbiano violato la pratica diffusa di ritirare i dati sulla vulnerabilità in data prossima al rilascio dell'aggiornamento e abbiano pubblicato il codice dannoso, danneggiando potenzialmente gli utenti. Richiediamo ai ricercatori sulla sicurezza di rivelare le informazioni sulla vulnerabilità in modo responsabile per disporre del tempo per distribuire gli aggiornamenti e impedire ai criminali di sfruttare la vulnerabilità del software.
Fattori attenuanti:
| • | I sistemi Windows 2000 sono maggiormente interessati da questa vulnerabilità. I clienti Windows 2000 che hanno installato l'aggiornamento per la protezione MS05-039 non sono interessati da questa vulnerabilità. Se un amministratore ha disabilitato le connessioni anonime e ha selezionato l'impostazione predefinita della chiave di registro RestrictAnonymous sul valore 2, i sistemi Windows 2000 non sono vulnerabili in remoto da utenti anonimi. Tuttavia, a causa del rischio di problemi di compatibilità tra applicazioni, sconsigliamo di abilitare questa impostazione in ambienti di produzione senza averla prima verificata su larga scala nei propri ambienti. Per ulteriori informazioni, cercare RestrictAnonymous sul sito Web Microsoft Guida e supporto. |
| • | A differenza del target corrente di questo codice dannoso, è importante tenere presente che su Windows XP Service Pack 2 e Windows Server 2003 un utente malintenzionato deve disporre delle credenziali di accesso valide e essere in grado di accedere in locale al sistema per sfruttare questa vulnerabilità. La vulnerabilità non può essere sfruttata in remoto da utenti anonimi o da utenti che dispongono di account utente standard in Windows XP Service Pack 2 o Windows Server 2003 a causa della maggiore sicurezza disponibile direttamente nel componente interessato. Anche se un amministratore ha abilitato le connessioni anonime modificando l'impostazione predefinita della chiave di registro RestrictAnonymous, la vulnerabilità di Windows XP Service Pack 2 e Windows Server 2003 non può essere sfruttata in remoto da utenti anonimi o da parte di utenti che dispongono di account utente standard. Tuttavia, il componente interessato è disponibile in remoto agli utenti che dispongono di autorizzazioni amministrative. |
| • | A differenza del target corrente di questo codice di accesso, è importante tenere presente che su Windows XP Service Pack 1 un utente malintenzionato deve essere in possesso di credenziali di accesso valide per sfruttare questa vulnerabilità. La vulnerabilità non può essere sfruttata in remoto da utenti anonimi. Tuttavia, il componente interessato è disponibile in remoto per utenti che dispongono di account utente standard su Windows XP Service Pack 1. Il codice dannoso esistente non è progettato per fornire l'autenticazione richiesta per sfruttare la vulnerabilità su questi sistemi operativi. Anche se un amministratore ha abilitato le connessioni anonime modificando l'impostazione predefinita della chiave di registro RestrictAnonymous, i sistemi Windows XP Service Pack 1 non sono esposti ad attacchi remoti da parte di utenti anonimi. |
| • | Questo problema non riguarda Windows 98, Windows 98 SE o Windows Millennium Edition. |
Informazioni generali
Risorse:
| • | Per inviare un commento, completare il modulo visitando il seguente sito Web. |
| • | Per usufruire dei servizi del supporto tecnico, visitare il sito del Servizio Supporto Tecnico Clienti Microsoft. Per ulteriori informazioni sulle opzioni di supporto disponibili, visitare il sito Web Microsoft Guida e supporto. |
| • | I clienti internazionali possono ottenere assistenza tecnica presso le filiali Microsoft locali. Per ulteriori informazioni su come contattare Microsoft per ottenere supporto internazionale, visitare il sito Web del supporto internazionale. |
| • | Nel sito Web Sicurezza di Microsoft TechNet sono disponibili ulteriori informazioni sulla protezione e la sicurezza dei prodotti Microsoft. |
Dichiarazione di non responsabilità:
Le informazioni disponibili in questo advisory sono fornite "come sono" senza garanzie di alcun tipo. Conseguentemente, Microsoft non rilascia alcuna garanzia, esplicita o implicita, inclusa la garanzia di commerciabilità e di idoneità per uno scopo specifico. Microsoft Corporation o i suoi fornitori non saranno, in alcun caso, responsabili per danni di qualsiasi tipo, inclusi i danni diretti, indiretti, incidentali, consequenziali, la perdita di profitti e i danni speciali, anche qualora Microsoft Corporation o i suoi fornitori siano stati informati della possibilità del verificarsi di tali danni. Alcuni stati non consentono l'esclusione o la limitazione di responsabilità per danni diretti o indiretti e, dunque, la sopracitata limitazione potrebbe non essere applicabile.
Versioni:
| • | 11 agosto 2005: pubblicazione dell'advisory |
| • | 14 agosto 2005: Questo advisory è stato aggiornato per informare i clienti che Microsoft è costantemente impegnato ad analizzare ed offrire assistenza relativa al worm dannoso identificato come "Worm:Win32/Zotob.A". |
| • | 15 agosto 2005: L'advisory è stato aggiornato con ulteriori varianti di Worm:Win32/Zotob.A. Sono state inoltre aggiornate le informazioni relative all'impatto della chiave di registro RestrictAnonymous. |