Bollettino Microsoft sulla sicurezza MS03-039

Descrizione tecnica:

Questa patch sostituisce quella indicata nel bollettino Microsoft sulla sicurezza MS03-026.

Remote Procedure Call (RPC) è un protocollo utilizzato dal sistema operativo Windows, che offre un meccanismo di comunicazione tra processi che consente a un programma in esecuzione in un computer di accedere a servizi su un altro computer. Il protocollo è derivato dal protocollo RPC OSF (Open Software Foundation), ma con l'aggiunta di alcune estensioni specifiche di Microsoft.

Nella parte del servizio RPCSS che gestisce i messaggi RPC per l'attivazione DCOM sono state identificate tre vulnerabilità, di cui due possono consentire l'esecuzione di codice arbitrario e una può essere sfruttata per un attacco di negazione del servizio. Tali problemi sono dovuti a modalità errate di gestione dei messaggi con formato non valido. Le vulnerabilità menzionate interessano l'interfaccia DCOM (Distributed Component Object Model) presente nel servizio RPCSS e responsabile della gestione delle richieste di attivazione degli oggetti DCOM inviate da un computer all'altro.

Se riesce a sfruttare la vulnerabilità, l'autore dell'attacco può eseguire codice nel sistema con i privilegi dell'account LocalSystem del sistema interessato oppure provocare un errore nel servizio RPCSS, quindi effettuare qualsiasi operazione sul computer, incluse l'installazione di programmi, la visualizzazione, la modifica o l'eliminazione di dati e la creazione di nuovi account con privilegi completi. Per sfruttare la vulnerabilità, è necessario sviluppare un programma in grado di inviare a un sistema interessato dal problema un particolare tipo di messaggio RPC con formato non valido e diretto al servizio RPCSS.

Microsoft ha rilasciato uno strumento che consente di eseguire la scansione della rete allo scopo di individuare i sistemi in cui non è stata installata la patch MS03-039. Per ulteriori informazioni su tale strumento, leggere l'articolo 827363 della Microsoft Knowledge Base. Tale strumento sostituisce quello fornito con l'articolo 826369 della Microsoft Knowledge Base. Se si esegue lo strumento fornito con l'articolo 826369 della Microsoft Knowledge Base per controllare un sistema in cui è installata la patch per la protezione fornita con questo bollettino, tale strumento segnalerà che nel sistema non è installata la patch fornita con il bollettino MS03-026. Microsoft invita i clienti a utilizzare la versione più recente dello strumento, disponibile nell'articolo 827363 della Microsoft Knowledge Base, per verificare se i sistemi in uso dispongono delle patch appropriate.

Fattori attenuanti:

Livello di gravità:

La classificazione R0lGODlhDQAJAPcAAAAAAAAA/zExMWMAnGMxnGNjY2sInGsIpXMQpXMhrXshpXsprYQxrYQxtYxC tZRKtZRKvZRSvZwxnJwxzpxSvZxjvZxjxpxjzpycnKVrxq1zxq1zzrWEzr2M1r2U1sal3s5jzs6c zs6t3s7Ozs7O/9a1597G597O7+fW7+/n9/fv9/8AAP/Ozv/O//////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// //////////////////////////////////////////////////////////////////////////// /////////////////////////////////////////////////////ywAAAAADQAJAAAILQADCBwY YIXBgwFcJFzooqFDggMPIlRIMaHDhhAFSjR4sePFjSA5evQYEmRAAAA7 della gravità di cui alla tabella precedente si basa sui tipi di sistemi interessati dalla vulnerabilità, sui modelli di deployment più comuni e sui potenziali effetti del problema in tali ambienti.

Identificatore della vulnerabilità:

Sovraccarico del buffer: CAN-2003-0715

Sovraccarico del buffer: CAN-2003-0528

Negazione del servizio: CAN-2003-0605 

Versioni verificate:

Microsoft ha eseguito test in Windows Millennium Edition, Windows NT 4.0 Server, Windows NT 4.0 Terminal Services Edition, Windows 2000, Windows XP e Windows Server 2003 per verificare se tali sistemi sono interessati dalla vulnerabilità. Le versioni precedenti non sono più supportate e potrebbero essere o meno interessate da questo problema.

Anche il bollettino Microsoft sulla sicurezza MS03-026 riguardava il servizio RPC. Questa patch sostituisce quella fornita in tale bollettino?
Sì. La patch per la protezione fornita in questo bollettino sostituisce completamente sia quella fornita nel bollettino MS03-026, sia quella fornita nel bollettino MS01-048.

Qual è la portata o l'impatto di questa vulnerabilità?
Il presente bollettino riguarda tre diverse vulnerabilità, le prime due di sovraccarico del buffer e la terza di negazione del servizio. Se sfruttate, le vulnerabilità di sovraccarico del buffer possono consentire a un utente malintenzionato di assumere il controllo completo di un computer remoto. L'autore dell'attacco avrebbe così la possibilità di eseguire qualsiasi operazione sul sistema, incluse la modifica di pagine Web, la formattazione del disco rigido o l'aggiunta di nuovi utenti al gruppo degli amministratori locali. Sfruttando la vulnerabilità di negazione del servizio, invece, l'autore dell'attacco potrebbe provocare il blocco del servizio RPC o impedirgli di rispondere. Per effettuare un attacco di questo tipo, l'utente malintenzionato deve essere in grado di inviare un messaggio con formato appositamente predisposto al servizio RPCSS, in modo da provocare nel sistema di destinazione un errore che consenta l'esecuzione di codice non autorizzato.

Quali sono le cause di queste vulnerabilità?
Queste vulnerabilità sono dovute al fatto che, in determinate circostanze, il servizio RPCSS di Windows non controlla correttamente l'input dei messaggi. Se, dopo avere stabilito una connessione RPC, un utente malintenzionato invia un messaggio RPC con un formato appositamente predisposto, nel sistema remoto l'infrastruttura di attivazione DCOM (Distributed Component Object Model) sottostante genera un errore tale da consentire l'esecuzione di codice non autorizzato.

Che cos'è DCOM?
DCOM (Distributed Component Object Model) è un protocollo che consente la comunicazione diretta fra componenti software attraverso una rete. Precedentemente noto come "OLE di rete", DCOM è progettato per l'utilizzo con vari tipi di trasporti di rete, inclusi i protocolli Internet come HTTP. Per ulteriori informazioni su DCOM, visitare il sito Web: http://www.microsoft.com/com/tech/dcom.asp

Che cos'è RPC?
RPC (Remote Procedure Call) è un protocollo che può essere utilizzato da un'applicazione per richiedere un servizio a un programma residente in un altro computer della rete. RPC aumenta l'interoperabilità perché per i programmi che lo utilizzano non è necessario conoscere i protocolli di rete che supportano la comunicazione. In questo caso, il programma che invia la richiesta è il client, mentre quello che fornisce il servizio è il server.

Che cosa sono i servizi Internet COM e RPC su HTTP?
RPC su HTTP, versioni 1 (Windows NT 4.0, Windows 2000) e 2 (Windows XP, Windows Server 2003), introduce il supporto per un nuovo protocollo di trasporto RPC che permette l'utilizzo di RPC sulle porte TCP 80 e 443 (solo versione 2), per consentire la comunicazione fra client e server anche in presenza di firewall e server proxy. I servizi Internet COM (CIS) consentono a DCOM di utilizzare RPC su HTTP per la comunicazione fra client e server DCOM.

Per ulteriori informazioni su "RPC su HTTP " per Windows Server 2003, visitare il sito Web: http://msdn.microsoft.com/library/default.asp?url=/library/en-us/rpc/rpc/remote_procedure_calls_using_rpc_over_http.asp

Per ulteriori informazioni sui servizi Internet COM, visitare il sito Web: http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dndcom/html/cis.asp

Come è possibile stabilire se nel sistema sono installati i servizi Internet COM o il protocollo RPC su HTTP?
Per stabilire se in un server sono installati i servizi Internet COM o RPC su HTTP, attenersi alla procedura seguente:

Viene avviata l'Aggiunta guidata componenti di Windows.
Fare clic su Servizi di rete, quindi su Dettagli.
Se la casella di controllo Proxy di Servizio Internet COM (in Windows 2000 Server) o Proxy RPC su HTTP (in Windows Server 2003) è selezionata, sul server è attivato il supporto per i servizi Internet COM o RPC su HTTP.

Nota: è possibile eseguire la ricerca del file "rpcproxy.dll" anche nei sistemi Windows 2000 e Windows Server 2003, ad esempio per stabilire in modalità remota o a livello di codice se i servizi Internet COM o RPC su HTTP sono installati.

Per cercare un file specifico nel computer, fare clic su Start, scegliere Trova, quindi File o cartelle e digitare il nome del file da cercare.
Per l'esecuzione della ricerca possono essere necessari alcuni minuti, a seconda delle dimensioni del disco rigido.

Qual è il difetto del servizio RPCSS?
È presente un difetto nel servizio RPCSS responsabile dell'attivazione DCOM. Il problema, dovuto a modalità errate di gestione dei messaggi con formato non valido, interessa il servizio RPCSS sottostante utilizzato per l'attivazione DCOM, in ascolto sulle porte UDP 135, 137, 138, 445 e sulle porte TCP 135, 139, 445, 593. Se i servizi Internet COM o RPC su HTTP sono abilitati, tale servizio può rimanere in ascolto anche sulle porte 80 e 443.
Inviando un messaggio RPC con formato non valido, un utente malintenzionato può generare nel servizio RPCSS di un determinato sistema un errore tale da consentire l'esecuzione di codice non autorizzato.

Si tratta di un difetto del processo di mapping degli endpoint RPC?
No. Anche se il processo di mapping degli endpoint RPC utilizza lo stesso servizio RPCSS dell'infrastruttura DCOM, il difetto risiede in realtà nell'infrastruttura di attivazione DCOM. Il mapping degli endpoint RPC consente ai client RPC di determinare il numero di porta attualmente assegnato a un particolare servizio RPC. Un endpoint è un identificatore, specifico del protocollo, di un servizio in un computer host. Per protocolli come TCP o UDP si tratta di una porta, mentre per le named pipe è costituito dal nome di una named pipe. Per altri protocolli vengono utilizzati endpoint specifici del protocollo.

A quali attacchi viene esposto il sistema a causa di queste vulnerabilità?
Se riesce a sfruttare le vulnerabilità di sovraccarico del buffer, l'autore dell'attacco può eseguire codice nel sistema con i privilegi dell'account LocalSystem ed effettuare qualsiasi operazione sul computer, incluse l'installazione di programmi, la visualizzazione, la modifica o l'eliminazione di dati e la creazione di nuovi account con privilegi completi.
Sfruttando la vulnerabilità di negazione del servizio, invece, l'autore dell'attacco potrebbe provocare il blocco del servizio RPCSS o impedirgli di rispondere.

In quale modo un hacker può sfruttare queste vulnerabilità?
L'autore dell'attacco può tentare di sfruttare queste vulnerabilità creando un programma in grado di comunicare tramite una porta TCP/UDP con un server interessato dal problema, in modo da inviare un particolare tipo di messaggio RPC con formato non valido. Alla ricezione di tale messaggio il servizio RPCSS del sistema affetto dalla vulnerabilità genera un errore tale da consentire l'esecuzione di codice non autorizzato. È possibile accedere al componente interessato anche con altre tecniche, ad esempio utilizzando un metodo che prevede l'accesso interattivo al sistema oppure un'altra applicazione che passa parametri al componente affetto dalla vulnerabilità, in modalità locale o remota.

Quali capacità sono necessarie per sfruttare queste vulnerabilità?
Qualsiasi utente in grado di inviare un messaggio RPC con formato non valido al servizio RPCSS di un sistema interessato dal problema può tentare di sfruttare queste vulnerabilità. Poiché il servizio RPCSS è attivo per impostazione predefinita in tutte le versioni di Windows, questo significa essenzialmente che qualsiasi utente in grado di stabilire una connessione con un sistema affetto dalle vulnerabilità può tentare di sfruttarle. Il sistema operativo Microsoft Windows NT 4.0 Workstation non è più supportato.

Perché questo bollettino fornisce una patch anche per tale sistema?
Come documentato, Windows NT 4.0 Workstation è giunto al termine del suo ciclo di vita. Microsoft non fornisce in genere patch per tale prodotto. Tuttavia, dati la gravità della vulnerabilità, il fatto che il ciclo di vita del prodotto è terminato da poco e l'elevato numero di computer Windows NT 4.0 Workstation attualmente utilizzati attivamente, Microsoft ha deciso di fare un'eccezione.
Anche se questo non avverrà per tutte le vulnerabilità future, in caso di necessità Microsoft renderà disponibili le patch appropriate. Per evitare di esporre i propri sistemi alle vulnerabilità future, si raccomanda di migrare a piattaforme supportate i computer Windows NT 4.0 Workstation ancora in uso. Per ulteriori informazioni sul supporto durante il ciclo di vita dei prodotti desktop Windows, visitare: http://microsoft.com/windows/lifecycle/desktop/consumer/components.mspx

Il sistema operativo Microsoft Windows 2000 Service Pack 2 non è più supportato. Perché questo bollettino fornisce una patch anche per tale sistema?
Come documentato, Windows 2000 Service Pack 2 è giunto al termine del suo ciclo di vita. Microsoft non fornisce in genere patch per tale prodotto. Tuttavia, dati la gravità della vulnerabilità, il fatto che il ciclo di vita del prodotto è terminato da poco e l'elevato numero degli utenti che utilizzano ancora Windows 2000 Service Pack 2, Microsoft ha deciso di fare un'eccezione.
Anche se questo non avverrà per tutte le vulnerabilità future, in caso di necessità Microsoft renderà disponibili le patch appropriate. Per evitare di esporre i propri sistemi alle vulnerabilità future, si raccomanda di migrare a piattaforme supportate i computer Windows 2000 Service Pack 2 ancora in uso.

Per ulteriori informazioni sul supporto durante il ciclo di vita dei prodotti desktop Windows, visitare: http://microsoft.com/windows/lifecycle/desktop/consumer/components.mspx

Esistono strumenti che consentono di individuare i sistemi di una rete in cui non è stata installata la patch MS03-039?
Sì. Microsoft ha rilasciato uno strumento che consente di eseguire la scansione della rete allo scopo di individuare i sistemi in cui non è stata installata la patch MS03-039. Per ulteriori informazioni su tale strumento, leggere l'articolo 827363 della Microsoft Knowledge Base.

Quali sono gli scopi della patch?
La patch elimina la vulnerabilità modificando l'implementazione di DCOM in modo che controlli correttamente le informazioni che le vengono passate.

Soluzioni alternative:

Esistono soluzioni alternative che è possibile adottare per bloccare lo sfruttamento della vulnerabilità durante la valutazione o il testing della patch?
Sì. Benché per tutti gli utenti sia consigliabile installare la patch appena possibile, sono disponibili diverse soluzioni alternative che è possibile adottare per impedire temporaneamente lo sfruttamento della vulnerabilità. Queste soluzioni alternative non garantiscono il blocco di tutti i tipi di attacchi.

Nota: tali soluzioni devono essere considerate contromisure temporanee, in quanto sono intese semplicemente a impedire gli attacchi piuttosto che a risolvere la vulnerabilità sottostante.

Posizioni per il download di questa patch

Piattaforma per l'installazione:

•	La patch per Windows NT 4.0 può essere installata nei sistemi con Service Pack 6a.
•	La patch per Windows NT 4.0, Terminal Server Edition può essere installata nei sistemi con Windows NT 4.0, Terminal Server Edition Service Pack 6.
•	La patch per Windows 2000 può essere installata nei sistemi con Windows 2000 Service Pack 2, Service Pack 3 o Service Pack 4.
•	La patch per Windows XP può essere installata nei sistemi con Windows XP Gold o Service Pack 1.
•	La patch per Windows Server 2003 può essere installata nei sistemi con Windows Server 2003 Gold.

Disponibilità nei service pack futuri:

La correzione di questo problema sarà inclusa in Windows 2000 Service Pack 5, Windows XP Service Pack 2 e Windows Server 2003 Service Pack 1.

Necessario riavvio: si

Possibilità di disinstallare la patch: si

Superseded patches: 

Patch preesistenti: Questa patch sostituisce quelle incluse nei bollettini Microsoft sulla sicurezza MS03-026 e MS01-048 

Verifica dell'installazione della patch:

•	Windows NT 4.0: Per verificare l'installazione della patch nel computer, controllare che siano presenti nel sistema tutti i file elencati nel manifest riportato nell'articolo 824146 della Knowledge Base.
•	Windows NT 4.0 Terminal Server Edition: Per verificare l'installazione della patch nel computer, controllare che siano presenti nel sistema tutti i file elencati nel manifest riportato nell'articolo 824146 della Knowledge Base.
•	Windows 2000: Per assicurarsi che la patch sia stata installata nel computer, verificare la presenza della seguente chiave del Registro di sistema: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB824146. Per verificare i singoli file, controllare le informazioni su data/ora e versione dei file riportate nel manifest pubblicato nell'articolo 824146 della Knowledge Base.
•	Windows XP: • In Windows XP Gold: Per assicurarsi che la patch sia stata installata nel computer, verificare la presenza della seguente chiave del Registro di sistema: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\KB824146 Per verificare i singoli file, controllare le informazioni su data/ora e versione dei file riportate nel manifest pubblicato nell'articolo 824146 della Knowledge Base. • In Windows XP Service Pack 1: Per assicurarsi che la patch sia stata installata nel computer, verificare la presenza della seguente chiave del Registro di sistema: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP2\KB824146. Per verificare i singoli file, controllare le informazioni su data/ora e versione dei file riportate nel manifest pubblicato nell'articolo 824146 della Knowledge Base.
•	Windows Server 2003: Per assicurarsi che la patch sia stata installata nel computer, verificare la presenza della seguente chiave del Registro di sistema: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Window Server 2003\SP1\KB824146. Per verificare i singoli file, controllare le informazioni su data/ora e versione dei file riportate nel manifest pubblicato nell'articolo 824146 della Knowledge Base.

Avvertenze

Nessuna

Localizzazione:

Le versioni localizzate di questa patch sono disponibili nelle posizioni indicate nella sezione "Disponibilità della patch".

Download di altre patch di protezione:

Sono disponibili patch per altri problemi di protezione nei seguenti siti:

•	Le patch di protezione sono disponibili nel Microsoft Download Center ed è possibile individuarle in modo semplice eseguendo una ricerca con la parola chiave "security_patch".
•	Le patch per i sistemi consumer sono disponibili nel sito Web Windows Update.

Top of section