Bollettino Microsoft sulla sicurezza MS04-011

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

Qual è la portata o l'impatto di questa vulnerabilità?
Si tratta di una vulnerabilità di sovraccarico del buffer che, se sfruttata, può consentire a un utente malintenzionato di assumere il controllo completo in remoto di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali sono le cause di questa vulnerabilità?
Un buffer non controllato nel servizio LSASS.

Che cos'è LSASS?
LSASS (Local Security Authority Subsystem Service) fornisce un'interfaccia per la gestione della protezione locale, dell'autenticazione di dominio e dei processi Active Directory. Gestisce l'autenticazione per il client e il server. Contiene funzionalità utilizzate per supportare utilità di Active Directory.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?
Se un hacker riesce a sfruttarla può assumere il controllo completo del sistema interessato.

Quali capacità sono necessarie per sfruttare questa vulnerabilità?
In Windows 2000 e Windows XP qualsiasi utente anonimo in grado di recapitare un messaggio appositamente predisposto può tentare di sfruttare la vulnerabilità.

In quale modo un hacker può sfruttare questa vulnerabilità?
Per sfruttare la vulnerabilità, un utente malintenzionato può creare un messaggio appositamente predisposto e inviarlo a un sistema interessato, in modo da forzare il sistema ad eseguire codice.

Un hacker può, inoltre, accedere al componente interessato con un'altra strategia. Può, ad esempio, accedere al sistema in modo interattivo o utilizzando un programma che passa parametri al componente affetto dalla vulnerabilità (in locale o in remoto).

Quali sono i sistemi principalmente interessati da questa vulnerabilità?
I sistemi principalmente a rischio sono Windows 2000 e Windows XP.

Windows Server 2003 e Windows XP 64-Bit Edition versione 2003 prevedono un'ulteriore protezione, grazie alla quale, per sfruttare la vulnerabilità, un utente malintenzionato dovrebbe accedere al sistema come amministratore locale.

Quali sono gli scopi dell'aggiornamento?
L'aggiornamento elimina la vulnerabilità modificando il modo in cui il servizio LSASS convalida la lunghezza del messaggio prima di passarlo al buffer allocato.

L'aggiornamento rimuove, inoltre, il codice affetto dalla vulnerabilità da Windows 2000 Professional e Windows XP, poiché tali sistemi operativi non hanno bisogno dell'interfaccia vulnerabile. In questo modo si protegge il sistema da possibili vulnerabilità future del servizio in questione.

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

Qual è la portata o l'impatto di questa vulnerabilità?

Si tratta di una vulnerabilità legata alla possibilità di negazione del servizio che, se sfruttata, può consentire a un utente malintenzionato di forzare il riavvio automatico del sistema e impedire al server di rispondere alle richieste di autenticazione. La vulnerabilità è presente nei sistemi Windows 2000 Server che ricoprono il ruolo di controller di dominio. L'unico effetto sugli altri sistemi Windows 2000 è che i client potrebbero non essere in grado di accedere al dominio, nel caso in cui il controller di dominio smetta di rispondere alle richieste.

Quali sono le cause di questa vulnerabilità?

L'elaborazione di messaggi LDAP appositamente predisposti da parte del servizio LSASS (Local Security Authority Subsystem Service).

Quali sono le caratteristiche di LDAP?

LDAP (Lightweight Directory Access Protocol) è un protocollo standard che consente agli utenti autorizzati di eseguire query o di modificare dati in una metadirectory. Ad esempio, in Windows 2000, LDAP è uno dei protocolli utilizzati per accedere ai dati in Active Directory.

Qual è il punto debole del processo di gestione dei messaggi LDAP appositamente predisposti?

Un hacker può inviare un messaggio LDAP appositamente predisposto al servizio LSASS impedendogli di rispondere alle richieste.

Che cos'è LSASS?

LSASS (Local Security Authority Subsystem Service) fornisce un'interfaccia per la gestione della protezione locale, dell'autenticazione di dominio e dei processi Active Directory. Gestisce l'autenticazione per il client e il server. Contiene funzionalità utilizzate per supportare utilità di Active Directory.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?

Un hacker in grado di sfruttare la vulnerabilità potrebbe impedire al servizio LSASS di rispondere alle richieste e forzare il riavvio del sistema interessato. In questo caso potrebbe essere visualizzato un avviso in cui si segnala che il sistema verrà riavviato dopo 60 secondi. Durante il conto alla rovescia non sarà possibile eseguire né l'autenticazione locale sulla console del sistema interessato né l'autenticazione di dominio degli utenti con il sistema interessato. Al termine del conto alla rovescia, il sistema interessato verrà automaticamente riavviato. Se gli utenti non riescono a eseguire l'autenticazione di dominio con il sistema interessato, potrebbero non accedere alle risorse di dominio. Dopo il riavvio, il sistema interessato tornerà a funzionare normalmente. Tuttavia, se non viene applicato l'aggiornamento, il sistema potrebbe essere esposto a un nuovo attacco di negazione del servizio.

Quali capacità sono necessarie per sfruttare questa vulnerabilità?

Qualsiasi utente anonimo in grado di inviare messaggi LDAP appositamente predisposti al sistema interessato può sfruttare la vulnerabilità.

In quale modo un hacker può sfruttare questa vulnerabilità?

La vulnerabilità può essere sfruttata inviando un messaggio LDAP appositamente predisposto ai controller di dominio di una sola o di più foreste, al fine di provocare una negazione del servizio di autenticazione di dominio in tutta l'azienda. In questo modo è possibile impedire a LSASS di rispondere alle richieste e forzare il riavvio del sistema interessato. Per inviare un messaggio LDAP appositamente predisposto non è necessario disporre di un account utente valido nel dominio: l'attacco può essere eseguito con un accesso anonimo.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?

Sono affetti dalla vulnerabilità solo i controller di dominio Windows 2000.

Se si esegue Windows 2000, quali sistemi è necessario aggiornare?

L'aggiornamento deve essere installato solo sui sistemi che fungono da controller di dominio Windows 2000. Tuttavia, può essere installato in assoluta sicurezza su computer Windows 2000 Server con altri ruoli. Microsoft consiglia di installare l'aggiornamento sui sistemi che potrebbero, in futuro, assumere il ruolo di controller di dominio.

Quali sono gli scopi dell'aggiornamento?

L'aggiornamento elimina la vulnerabilità modificando il modo in cui LSASS elabora il messaggio LDAP appositamente predisposto.

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

HKey_Local_Machine\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\PCT 1.0\Server

Qual è la portata o l'impatto di questa vulnerabilità?

Esiste una vulnerabilità di sovraccarico del buffer nel protocollo PCT (Private Communications Transport), che fa parte della libreria Microsoft Secure Sockets Layer (SSL). Sono interessati dalla vulnerabilità solo i sistemi su cui è attivato SSL e, in alcuni casi, i controller di dominio Windows 2000.

Possono essere interessati tutti i programmi che utilizzano SSL. Sebbene SSL sia comunemente associato a Internet Information Services tramite HTTPS e la porta 443, sono a rischio tutti i servizi che implementano SSL su una piattaforma interessata, tra cui Microsoft Internet Information Services 4.0, Microsoft Internet Information Services 5.0, Microsoft Internet Information Services 5.1, Microsoft Exchange Server 5.5, Microsoft Exchange Server 2000, Microsoft Exchange Server 2003, Microsoft Analysis Services 2000 (incluso in SQL Server 2000) e qualsiasi programma di terze parti che utilizzi PCT. SQL Server 2000 non è affetto dalla vulnerabilità poiché blocca le connessioni PCT.

Windows Server 2003 e Internet Information Services 6.0 sono interessati dalla vulnerabilità solo se un amministratore ha attivato manualmente PCT (anche se è stato attivato SSL).

Questa vulnerabilità, se sfruttata, può consentire a un utente malintenzionato di assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali sono le cause di questa vulnerabilità?

Il processo utilizzato dalla libreria SSL per controllare gli input dei messaggi.

Che cos'è la libreria SSL?

La libreria Microsoft Secure Sockets Layer (SSL) contiene il supporto per diversi protocolli di comunicazione protetti tra cui Transport Layer Security 1.0 (TLS 1.0), Secure Sockets Layer 3.0 (SSL 3.0), l'obsoleto e raramente utilizzato Secure Sockets Layer 2.0 (SSL 2.0) e Private Communication Technology 1.0 (PCT 1.0).

Questi protocolli garantiscono una connessione crittografata tra server e client. SSL è in grado di proteggere le informazioni durante la trasmissione in reti pubbliche come Internet. Il supporto SSL richiede un certificato SSL, che deve essere installato su un server. Per ulteriori informazioni su SSL, vedere l'articolo della Microsoft Knowledge Base 245152.

Quali sono le caratteristiche del protocollo PCT?

PCT (Private Communication Technology) è un protocollo sviluppato da Microsoft e Visa International per la comunicazione protetta in Internet. Rappresenta un'alternativa a SSL 2.0. È simile a SSL. I formati dei messaggi sono talmente simili che un server può interagire sia con client che supportano SSL che con client che supportano PCT.

PCT è un protocollo precedente che è stato sostituito da SSL 3.0 e viene utilizzato raramente. La libreria Microsoft Secure Sockets Layer (SSL) supporta PCT solo per la compatibilità con le versioni precedenti. La maggior parte dei server e dei programmi attuali utilizza SSL 3.0 e PCT non è più necessario. Per ulteriori informazioni, visitare il sito Web MSDN Library.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?

Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali capacità sono necessarie per sfruttare questa vulnerabilità?

Qualsiasi utente anonimo in grado di recapitare un messaggio TCP opportunamente predisposto a un servizio abilitato a SSL di un determinato sistema può tentare di sfruttare la vulnerabilità.

In quale modo un hacker può sfruttare questa vulnerabilità?

La vulnerabilità può essere sfruttata comunicando con un sistema interessato tramite un servizio abilitato a SSL e inviando un messaggio TCP opportunamente predisposto. Alla ricezione di tale messaggio il servizio interessato del sistema affetto dalla vulnerabilità genera un errore tale da consentire l'esecuzione di codice.

Un hacker può, inoltre, accedere al componente interessato con un'altra strategia. Può, ad esempio, accedere al sistema in modo interattivo o utilizzando un programma che passa parametri al componente affetto dalla vulnerabilità (in locale o in remoto).

Quali sono i sistemi principalmente interessati da questa vulnerabilità?

Possono essere interessati tutti i programmi che utilizzano SSL. Sebbene SSL sia comunemente associato a Internet Information Services tramite HTTPS e la porta 443, sono a rischio tutti i servizi che implementano SSL su una piattaforma interessata, tra cui Internet Information Services 4.0, Internet Information Services 5.0, Internet Information Services 5.1, Exchange Server 5.5, Exchange Server 2000, Exchange Server 2003, Analysis Services 2000 (incluso in SQL Server 2000) e qualsiasi programma di terze parti che utilizzi PCT. SQL Server 2000 non è affetto dalla vulnerabilità poiché blocca le connessioni PCT.

Windows Server 2003 e Internet Information Services 6.0 sono interessati dalla vulnerabilità solo se un amministratore ha attivato manualmente PCT (anche se è stato attivato SSL).

Sono affetti dalla vulnerabilità anche i domini Active Directory in cui sia installata la Certification Authority di tipo Enterprise Root, poiché i controller di dominio Windows 2000 automaticamente attenderanno connessioni SSL.

In che modo è interessato dalla vulnerabilità Windows Server 2003?

Nella procedura con cui Windows Server 2003 implementa PCT è contenuto lo stesso sovraccarico del buffer rilevato in altre piattaforme. Tuttavia, PCT è disattivato per impostazione predefinita. Se il protocollo PCT venisse attivato tramite una chiave del Registro di sistema, Windows Server 2003 potrebbe essere esposto al problema. Microsoft sta quindi per rilasciare un aggiornamento per la protezione per Windows Server 2003 che corregga il sovraccarico del buffer mantenendo disattivato PCT.

Quali sono gli scopi dell'aggiornamento?

L'aggiornamento elimina la vulnerabilità modificando il modo in cui l'implementazione PCT convalida le informazioni che le vengono passate e disattivando il protocollo PCT.

L'aggiornamento comporta modifiche funzionali?

Sì. Sebbene l'aggiornamento miri a risolvere la vulnerabilità presente in PCT, provvede anche a disattivare PCT, poiché questo protocollo non è più utilizzato ed è stato sostituito da SSL 3.0. Questa modifica è coerente con le impostazioni predefinite di Windows Server 2003. Se gli amministratori si trovano a dover utilizzare PCT, possono servirsi della chiave del Registro di sistema descritta nella sezione delle soluzioni alternative di questo bollettino per riattivare il protocollo.

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

Qual è la portata o l'impatto di questa vulnerabilità?

Si tratta di una vulnerabilità di sovraccarico del buffer. Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali sono le cause di questa vulnerabilità?

Winlogon legge un valore dal dominio ma non controlla la dimensione di tale valore prima di inserirlo nel buffer allocato.

Che cos'è winlogon?

Il processo di accesso a Windows (Winlogon) è il componente del sistema operativo Windows che fornisce il supporto di accesso interattivo. Winlogon.exe è il processo che gestisce le interazioni degli utenti relative alla protezione in Windows. Gestisce, ad esempio, le richieste di accesso e disconnessione, di blocco o sblocco del sistema e di modifica della password. Legge i dati dal dominio durante il processo di accesso e li utilizza per configurare l'ambiente di un utente. Per ulteriori informazioni su Winlogon, visitare il sito Web MSDN Library.

Che cos'è un dominio?

Un dominio può essere utilizzato per archiviare informazioni su praticamente qualsiasi oggetto di rete, come stampanti, percorsi di condivisione file e informazioni personali. Per ulteriori informazioni sulla creazione di domini tramite Windows 2000 Server o Windows Server 2003, visitare il seguente sito Web.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?

Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali capacità sono necessarie per sfruttare questa vulnerabilità?

Per sfruttare la vulnerabilità, un utente malintenzionato deve disporre dell'autorizzazione per modificare oggetti utente in un dominio. In genere, dispongono di tale autorizzazione solo i membri dei gruppi Administrators e Account Operators. Tuttavia, l'autorizzazione può essere delegata ad altri account del dominio. Gli account utente che non dispongono di questa autorizzazione o gli utenti anonimi non potranno sfruttare la vulnerabilità.

In quale modo un hacker può sfruttare questa vulnerabilità?

Per sfruttare la vulnerabilità, un utente malintenzionato potrebbe modificare un valore memorizzato nel dominio per includere dati dannosi. Quando questo valore viene passato a un buffer non controllato in Winlogon durante il processo di accesso, Winlogon potrebbe consentire l'esecuzione di codice dannoso.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?

Sono interessati dalla vulnerabilità solo i sistemi Windows NT 4.0, Windows 2000 e Windows XP che appartengono a un dominio.

Quali sono gli scopi dell'aggiornamento?

L'aggiornamento elimina la vulnerabilità modificando il modo in cui il processo Winlogon convalida la lunghezza di un valore prima di passarlo al buffer allocato.

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

Qual è la portata o l'impatto di questa vulnerabilità?

Si tratta di una vulnerabilità di sovraccarico del buffer. Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali sono le cause di questa vulnerabilità?

Un buffer non controllato nel rendering dei formati immagine Windows Metafile (WMF) ed Enhanced Metafile (EMF).

Cosa sono i formati immagine Windows Metafile (WMF) ed Enhanced Metafile (EMF)?

WMF è un formato metafile a 16 bit che può contenere informazioni vettoriali e bitmap. Il formato è ottimizzato per il sistema operativo Windows.

EMF è un formato a 32 bit che può contenere informazioni vettoriali e bitmap. Rappresenta un miglioramento rispetto a Windows Metafile Format e prevede funzionalità estese.

Per ulteriori informazioni sui tipi di immagine e i relativi formati, consultare l'articolo della Microsoft Knowledge Base 320314. Per ulteriori informazioni su questi formati file, visitare il sito Web MSDN Library.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?

Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

In quale modo un hacker può sfruttare questa vulnerabilità?

Qualsiasi programma che esegue il rendering dei tipi di immagine interessati può essere esposto a questo tipo di attacco. Di seguito sono riportati alcuni esempi:

Quali sono i sistemi principalmente interessati da questa vulnerabilità?

La vulnerabilità può essere sfruttata, sui sistemi interessati, da un hacker in grado di indurre un utente ad aprire un file appositamente predisposto o visualizzare una directory contenente un'immagine appositamente predisposta. Non c'è alcun modo per obbligare un utente ad aprire un file dannoso.

In uno scenario di attacco dal Web, l'hacker dovrebbe pubblicare un sito contenente una pagina utilizzata per sfruttare la vulnerabilità. Poiché non è in alcun modo possibile obbligare gli utenti a visitare un sito Web dannoso, l'hacker deve indurre le vittime a visitare il sito, in genere inducendole a fare clic su un collegamento che le indirizzi a esso.

Quali sono gli scopi dell'aggiornamento?

L'aggiornamento elimina la vulnerabilità modificando il modo in cui Windows convalida i tipi di immagine interessati.

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

Qual è la portata o l'impatto di questa vulnerabilità?

Si tratta di una vulnerabilità legata all'esecuzione di codice in modalità remota che, se sfruttata, può consentire a un hacker di assumere il controllo completo del sistema interessato ed effettuare qualsiasi operazione, incluse l'installazione di programmi, la visualizzazione, modifica o eliminazione di dati e la creazione di nuovi account con privilegi completi.

Quali sono le cause di questa vulnerabilità?

Il processo utilizzato da Guida in linea e supporto tecnico per convalidare gli input di dati.

Che cos'è  Guida in linea e supporto tecnico?

Guida in linea e supporto tecnico è una funzionalità di Windows che consente di ottenere assistenza su un'ampia varietà di argomenti. Ad esempio, è possibile ottenere informazioni sulle funzionalità di Windows, sul download e l'installazione degli aggiornamenti software, sulla procedura per stabilire se un particolare dispositivo hardware è compatibile con Windows e sui servizi di assistenza offerti da Microsoft. Utenti e applicazioni possono eseguire collegamenti URL a Guida in linea e supporto tecnico utilizzando il prefisso "hcp://" invece di "http://".

Che cos'è il protocollo HCP?

Come il protocollo HTTP può utilizzare collegamenti URL per aprire un browser, così il protocollo HCP può eseguire collegamenti URL per aprire Guida in linea e supporto tecnico.

Qual è il problema relativo a Guida in linea e supporto tecnico?

Si verifica un errore nella convalida dell'input.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?

Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

In quale modo un hacker può sfruttare questa vulnerabilità?

Per sfruttare la vulnerabilità, un hacker deve pubblicare un sito Web dannoso e quindi indurre un utente a visualizzarlo. In alternativa, può creare un messaggio di posta elettronica HTML contenente un collegamento appositamente predisposto, quindi indurre l'utente a visualizzare il messaggio e a fare clic sul collegamento. Se l'utente fa clic sul collegamento, può aprirsi una finestra di Internet Explorer con un URL HCP scelto dall'hacker che potrebbe consentire l'esecuzione di codice non autorizzato.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?

Windows XP e Windows Server 2003 contengono la versione di Guida in linea e supporto tecnico interessata dalla vulnerabilità. Windows NT 4.0 e Windows 2000 non sono interessati dal problema perché non contengono Guida in linea e supporto tecnico.

Se si utilizza Internet Explorer in Windows Server 2003, il problema ha una portata più limitata?

No. Per impostazione predefinita, in Windows Server 2003 Internet Explorer viene eseguito in una modalità limitata denominata Protezione avanzata di Internet Explorer. Tuttavia, il protocollo HCP è autorizzato ad accedere a Guida in linea e supporto tecnico per impostazione predefinita. Quindi, Windows Server 2003 è un sistema vulnerabile. Per ulteriori informazioni sulla configurazione di Protezione avanzata di Internet Explorer, visitare il seguente sito Web.

Quali sono gli scopi dell'aggiornamento?

L'aggiornamento elimina la vulnerabilità modificando la convalida dei dati passati a Guida in linea e supporto tecnico.

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

Qual è la portata o l'impatto di questa vulnerabilità?

Si tratta di una vulnerabilità legata alla possibilità di acquisizione di privilegi più elevati. Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali sono le cause di questa vulnerabilità?

Il processo utilizzato da Utility Manager per avviare applicazioni. È possibile che Utility Manager avvii applicazioni con privilegi di sistema.

Cos'è Utility Manager?

Utility Manager è un'utilità di accesso facilitato che consente agli utenti di verificare lo stato dei programmi di accesso facilitato, come Microsoft Magnifier, Assistente vocale oppure Tastiera su schermo, nonché di avviare o arrestare tali programmi.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?

Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali capacità sono necessarie per sfruttare questa vulnerabilità?

Per sfruttare la vulnerabilità, è necessario essere in grado di accedere al sistema, avviare Utility Manager ed eseguire un programma che invii a quest'ultimo un messaggio appositamente predisposto allo scopo.

In quale modo un hacker può sfruttare questa vulnerabilità?

Per sfruttare la vulnerabilità, è necessario innanzitutto avviare Utility Manager in Windows 2000 e quindi eseguire un'applicazione specificamente progettata allo scopo. Per impostazione predefinita, in Windows 2000 Utility Manager è installato ma non è in esecuzione. La vulnerabilità può consentire a un utente malintenzionato di assumere il controllo completo di un sistema Windows 2000.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?

La vulnerabilità riguarda solo Windows 2000. I sistemi più esposti sono le workstation e i server terminal basati su Windows 2000. I server sono a rischio solo se agli utenti privi di credenziali amministrative sufficienti è consentito di accedere ai server e di eseguire programmi. Tuttavia, le procedure consigliate scoraggiano fortemente questa attribuzione di privilegi.

Se è in esecuzione Windows 2000, ma non viene utilizzato né Utility Manager né qualsiasi altra funzionalità di Accesso facilitato, si è comunque esposti alla vulnerabilità?

Sì. Per impostazione predefinita, Utility Manager è installato e attivato, ma non in esecuzione.

È possibile sfruttare questa vulnerabilità tramite Internet?

No. L'hacker deve accedere al sistema specifico a cui è destinato l'attacco. Non può caricare ed eseguire un programma in remoto sfruttando la vulnerabilità.

Quali sono gli scopi dell'aggiornamento?

L'aggiornamento elimina la vulnerabilità modificando il modo in cui Utility Manager avvia le applicazioni.

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata di seguito.

Eliminare il provider Strumentazione gestione Windows (WMI) interessato.

Un amministratore con autorizzazioni amministrative locali può eliminare il provider WMI interessato inserendo il seguente script in un file di testo con estensione ".vbs" ed eseguendolo.

Per eliminare il provider Strumentazione gestione Windows (WMI) interessato:

set osvc = getobject("winmgmts:root\cimv2") set otrigger = osvc.get("__win32provider='cmdtriggerconsumer'") otrigger.delete_

L'installazione dell'aggiornamento riregistra automaticamente il provider WMI interessato a cui si è fatto riferimento. Dopo aver applicato l'aggiornamento, non sono richiesti ulteriori passaggi per ripristinare le normali funzionalità del sistema.

Effetto della soluzione:le attività create come trigger basati su eventi non funzioneranno se il provider non è registrato. Per ulteriori informazioni sui trigger basati su eventi, visitare il seguente sito Web.

Nota In rari casi, Windows XP potrebbe registrare nuovamente il provider WMI. Ad esempio, se Windows XP rileva che il repository WMI è danneggiato, può tentare di registrare nuovamente il provider WMI interessato.

Qual è la portata o l'impatto di questa vulnerabilità?

Si tratta di una vulnerabilità legata alla possibilità di acquisizione di privilegi più elevati. Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

Quali sono le cause di questa vulnerabilità?

In particolari condizioni, un utente senza privilegi di Microsoft Windows XP può creare un'attività eseguibile con autorizzazioni di sistema.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?

Un hacker in grado di sfruttare la vulnerabilità può assumere il controllo completo di un sistema interessato, riuscendo a installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account con privilegi completi.

In quale modo un hacker può sfruttare questa vulnerabilità?

Per sfruttare la vulnerabilità, è necessario accedere al sistema e creare un'attività. Poiché a tale scopo l'utente malintenzionato deve disporre di credenziali di accesso valide, i sistemi remoti non sono a rischio.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?

La vulnerabilità interessa solo Windows XP.

Quali sono gli scopi dell'aggiornamento?

L'aggiornamento elimina la vulnerabilità impedendo agli utenti di creare attività con un livello di privilegi elevato.

L'aggiornamento include anche altre modifiche funzionali?

Sì. L'aggiornamento include diverse modifiche funzionali, indicate di seguito: