Bollettino Microsoft sulla sicurezza MS05-028

Esiste una vulnerabilità legata all'esecuzione di codice in modalità remota nel modo in cui Windows elabora le richieste di Web Client che potrebbe consentire a un utente malintenzionato di assumere il pieno controllo di un sistema interessato.

•	L'utente malintenzionato deve essere in possesso di credenziali di accesso valide per sfruttare questa vulnerabilità. La vulnerabilità non può essere sfruttata da utenti anonimi.
•	Per impostazione predefinita, il servizio Web Client è disabilitato in Windows Server 2003. Il sistema è esposto a questa vulnerabilità solo dopo che un amministratore ha abilitato manualmente questo servizio.
•	I tentativi di sfruttamento di questa vulnerabilità provocherebbero quasi sicuramente una condizione di negazione del servizio (Denial of Service).
•	Le configurazioni predefinite standard dei firewall e le procedure consigliate per la configurazione dei firewall consentono di proteggere le reti dagli attacchi sferrati dall'esterno del perimetro aziendale. È consigliabile che i sistemi connessi a Internet abbiano un numero minimo di porte esposte. Per impostazione predefinita, la funzionalità Firewall connessione Internet (fornita con Windows XP Service Pack 1 e Windows Server 2003) impedisce alle porte interessate di rispondere agli attacchi basati sulla rete intesi a sfruttare questa vulnerabilità.
•	Nella Guida per la protezione di Windows Server 2003 viene consigliato di disabilitare il servizio Web Client. Per gli ambienti configurati in modo conforme alle linee guide presentate in questo documento il livello di rischio è ridotto.

Top of section

Microsoft ha verificato le soluzioni alternative seguenti. Sebbene queste soluzioni alternative non eliminino la vulnerabilità sottostante, consentono di bloccare gli attacchi noti. Se una soluzione alternativa riduce la funzionalità, viene identificata nella sezione seguente.

•	Disabilitare il servizio Web Client La disabilitazione del servizio Web Client consentirà di proteggere il sistema interessato dai tentativi di sfruttare questa vulnerabilità. Per disabilitare il servizio Web Client, attenersi alla procedura seguente: 1. Fare clic su Start e scegliere Pannello di controllo .In alternativa, scegliere Impostazioni e quindi Pannello di controllo. 2. Fare doppio clic su Strumenti di amministrazione. 3. Fare doppio clic su Servizi. 4. Fare doppio clic su WebClient. 5. Selezionare Disabilitato dall'elenco Tipo di avvio. 6. Fare clic su Stop e quindi su OK. È anche possibile arrestare e disabilitare il servizio Web Client immettendo la riga seguente al prompt dei comandi: sc stop WebClient & sc config WebClient start= disabled Effetto della soluzione alternativa: Se il servizio Web Client è disabilitato, le richieste di Web Distributed Authoring and Versioning (WebDAV) non verranno trasmesse. Se il servizio Web Client è disabilitato, tutti i servizi che dipendono esplicitamente da esso non verranno avviati e in questi casi verrà registrato un messaggio di errore nel registro eventi di sistema. Gli utenti di Windows Server 2003 non potranno utilizzare la funzionalità Apri come cartella Web.
•	Utilizzare le impostazioni dei criteri di gruppo per disabilitare il servizio Web Client in tutti i sistemi interessati che non richiedono questa funzionalità. Il servizio Web Client, in quanto possibile vettore d'attacco, può essere disabilitato utilizzando le impostazioni dei criteri di gruppo. È possibile disabilitare l'avvio del servizio a livello locale, di sito, di dominio o di unità organizzativa utilizzando la funzionalità oggetto Criteri di gruppo negli ambienti di dominio di Windows 2000 o Windows Server 2003. Nota Si consiglia inoltre di leggere la Guida per la protezione di Windows Server 2003 che include informazioni sulla modalità di disabilitazione di questi servizi. Per ulteriori informazioni sui Criteri di gruppo, visitare i seguenti siti Web Microsoft: • Guida passo passo sulle impostazioni dei criteri di gruppo • Criteri di gruppo Windows 2000 • Criteri di gruppo in Windows Server 2003 Effetto della soluzione alternativa: Se il servizio Web Client è disabilitato, le richieste di Web Distributed Authoring and Versioning (WebDAV) non verranno trasmesse. Se il servizio Web Client è disabilitato, tutti i servizi che dipendono esplicitamente da esso non verranno avviati e in questi casi verrà registrato un messaggio di errore nel registro eventi di sistema. Gli utenti di Windows Server 2003 non potranno utilizzare la funzionalità Apri come cartella Web.
•	Bloccare le porte TCP 139 e 445 a livello del firewall: Anche se WebDAV utilizza la porta TCP 80 per le comunicazioni in uscita, le porte TCP 139 e 445 possono essere utilizzate in ingresso per stabilire una connessione con questo servizio e tentare di sfruttare questa vulnerabilità. Il blocco di tali porte a livello del firewall consente di evitare che i sistemi protetti dal firewall subiscano attacchi mirati. Si consiglia di bloccare tutte le comunicazioni in ingresso non richieste provenienti da Internet per impedire gli attacchi che potrebbero utilizzare altre porte. Per ulteriori informazioni sulle porte, visitare il seguente sito Web.
•	Per assicurare la protezione contro i tentativi di sfruttare questa vulnerabilità con attacchi basati sulla rete, utilizzare un firewall personale, come ad esempio Firewall connessione Internet, incluso in Windows XP e Windows Server 2003. Per impostazione predefinita, la funzionalità Firewall connessione Internet in Windows XP e Windows Server 2003 consente di proteggere la connessione a Internet in quanto blocca il traffico in entrata non richiesto. È preferibile bloccare tutte le comunicazioni in entrata non richieste provenienti da Internet. Per attivare la funzionalità Firewall connessione Internet utilizzando l'Installazione guidata rete, seguire i passaggi riportati di seguito: 1. Fare clic su Start e scegliere Pannello di controllo. 2. Nella visualizzazione predefinita, per categorie, fare clic su Rete e connessioni Internet, quindi su Installa o cambia una piccola rete domestica o una piccola rete aziendale. Firewall connessione Internet viene attivato se, durante l'Installazione guidata rete, si sceglie una configurazione che preveda il collegamento diretto a Internet del sistema. Per configurare manualmente Firewall connessione Internet per una connessione, seguire i passaggi riportati di seguito: 1. Fare clic su Start e scegliere Pannello di controllo. 2. Nella visualizzazione predefinita, per categorie, fare doppio clic su Rete e connessioni Internet, quindi fare clic su Connessioni di rete. 3. Fare clic con il pulsante destro del mouse sulla connessione per la quale si desidera abilitare Firewall connessione Internet e scegliere Proprietà. 4. Fare clic sulla scheda Avanzate. 5. Selezionare la check box Proteggi il computer e la rete limitando o impedendo l'accesso al computer da Internet, quindi scegliere OK. Nota Per abilitare la comunicazione di alcuni programmi e servizi attraverso il firewall, fare clic su Impostazioni nella scheda Avanzate, quindi selezionare i programmi, i protocolli e i servizi desiderati.
•	Per assicurare la protezione contro i tentativi di sfruttare questa vulnerabilità con attacchi basati sulla rete, attivare il filtro TCP/IP avanzato nei sistemi che lo supportano. Per bloccare tutto il traffico non richiesto in ingresso, è possibile attivare il filtro TCP/IP avanzato. Per ulteriori informazioni sulla procedura di configurazione del filtro TCP/IP, vedere l'articolo della Microsoft Knowledge Base 309798.
•	Per assicurare la protezione contro i tentativi di sfruttare questa vulnerabilità con attacchi basati sulla rete, bloccare le porte interessate utilizzando IPSec nei sistemi interessati. Utilizzare IPSec (Internet Protocol Security) per proteggere le comunicazioni di rete. Per informazioni dettagliate su IPSec e sull'applicazione di filtri, vedere gli articoli della Microsoft Knowledge Base 313190 e 813878.

Top of section

Qual è la portata o l'impatto di questa vulnerabilità?
Si tratta di una vulnerabilità legata all'esecuzione di codice in modalità remota. Sfruttando questa vulnerabilità, un utente malintenzionato potrebbe assumere il pieno controllo del sistema interessato. riuscendo quindi a installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi. Per sfruttare la vulnerabilità, è necessario disporre di credenziali di accesso valide. La vulnerabilità non può essere sfruttata da utenti anonimi. È anche possibile sfruttare questa vulnerabilità per acquisire un livello superiore di privilegi nel sistema locale.

Quali sono le cause di questa vulnerabilità?
Un buffer non controllato nel servizio Web Client.

Che cos'è il servizio Web Client?
Il servizio Web Client consente alle applicazioni di accedere ai documenti su Internet. Web Client estende le funzioni di rete di Windows consentendo alle applicazioni Win32 standard di creare, leggere e scrivere file in file server presenti in Internet tramite il protocollo WebDAV. WebDAV è un protocollo per l'accesso ai file descritto in XML e trasmesso tramite il protocollo HTTP (Hypertext Transfer Protocol). Mediante il protocollo HTTP standard, WebDAV viene eseguito in infrastrutture Internet esistenti, ad esempio firewall e router.

Se il servizio Web Client viene arrestato, non sarà possibile servirsi della Pubblicazione guidata sul Web per pubblicare dati in Internet relativamente a percorsi che utilizzano il protocollo WebDAV. Se questo servizio è disabilitato, tutti i servizi che dipendono esplicitamente da esso non vengono avviati. Per ulteriori informazioni su WebDAV, vedere la documentazione del prodotto.

A quali attacchi viene esposto il sistema a causa di questa vulnerabilità?
Sfruttando questa vulnerabilità, un utente malintenzionato potrebbe assumere il pieno controllo del sistema interessato riuscendo quindi a installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.

Quali capacità sono necessarie per sfruttare questa vulnerabilità?
Per sfruttare la vulnerabilità, è necessario disporre di credenziali di accesso valide. La vulnerabilità non può essere sfruttata da utenti anonimi. Anche se il servizio Web Client viene utilizzato per fornire il supporto per il protocollo WebDAV in Internet, un utente malintenzionato autenticato deve comunque eseguire le operazioni necessarie per tentare di sfruttare questa vulnerabilità. Se l'account Guest è abilitato sul sistema interessato, l'attacco può essere sferrato da qualsiasi utente.

In quale modo un utente malintenzionato può sfruttare questa vulnerabilità?
Un utente malintenzionato può tentare di sfruttare questa vulnerabilità in vari modi. Dovrebbe innanzitutto eseguire l'autenticazione nel sistema e poi potrebbe sfruttare la vulnerabilità direttamente in rete creando una serie di messaggi appositamente predisposti e inviandoli al sistema interessato. I messaggi possono quindi costringere il sistema interessato a eseguire codice.

Un utente malintenzionato potrebbe inoltre accedere al componente interessato con un'altra strategia. Potrebbe, ad esempio, utilizzare un programma che passa parametri al componente interessato dalla vulnerabilità, in locale o in remoto.

Quali sono i sistemi principalmente interessati da questa vulnerabilità?
Tutti i sistemi operativi interessati sono esposti a questa vulnerabilità. Per impostazione predefinita, la funzionalità Firewall connessione Internet (fornita con Windows XP Service Pack 1 e Windows Server 2003) impedisce alle porte interessate di rispondere agli attacchi basati sulla rete intesi a sfruttare questa vulnerabilità. Per impostazione predefinita, il servizio Web Client è disabilitato in Windows Server 2003.

È possibile sfruttare questa vulnerabilità tramite Internet?
Sì. Un utente malintenzionato può tentare di sfruttare questa vulnerabilità tramite Internet. Le configurazioni predefinite standard dei firewall e le procedure consigliate per la configurazione dei firewall consentono di proteggersi dagli attacchi provenienti da Internet. Microsoft fornisce informazioni su come è possibile proteggere il proprio PC. Informazioni per gli utenti finali: visitare il sito Web Proteggi il tuo PC. Informazioni per i professionisti IT: visitare il sito Web Security Center.

Quali sono gli scopi dell'aggiornamento?
L'aggiornamento elimina la vulnerabilità modificando il modo in cui il servizio Web Client convalida la lunghezza di un messaggio prima di passarlo al buffer allocato.

Al momento del rilascio di questo bollettino le informazioni sulla vulnerabilità erano disponibili pubblicamente?
No. Microsoft ha ricevuto informazioni sulla vulnerabilità da fonti private. Secondo le informazioni in possesso di Microsoft, al momento della pubblicazione del presente bollettino, l'esistenza di questa vulnerabilità non era stata ancora divulgata pubblicamente.

Al momento del rilascio di questo bollettino erano già stati segnalati attacchi basati sullo sfruttamento di questa vulnerabilità?
No. Al momento della pubblicazione del presente bollettino, Microsoft non aveva ricevuto alcuna segnalazione in merito allo sfruttamento di questa vulnerabilità a scopo di attacco, né dell'esistenza di un codice di prova pubblicato.

Top of section

Prerequisiti
Per questo aggiornamento per la protezione è necessaria la versione definitiva di Windows Server 2003.

Disponibilità nei service pack futuri:
La correzione per questo problema è inclusa nel Service Pack 1.

Informazioni per l'installazione

Questo aggiornamento per la protezione supporta le seguenti opzioni del programma di installazione.

Nota È possibile combinare queste opzioni in un unico comando. Per garantire la compatibilità con le versioni precedenti, l'aggiornamento per la protezione supporta inoltre numerose opzioni utilizzate dalla versione precedente del programma di installazione. Per ulteriori informazioni sulle opzioni di installazione supportate, consultare l'articolo della Microsoft Knowledge Base 262841. Per ulteriori informazioni sul programma di installazione Update.exe, visitare il sito Web Microsoft TechNet.

Informazioni per il deployment

Per installare l'aggiornamento per la protezione senza l'intervento dell'utente, immettere la riga seguente al prompt dei comandi di Windows Server 2003:

Windowsserver2003-kb896426-x86-enu /quiet

Nota L'utilizzo dell'opzione /quiet evita di visualizzare tutti i messaggi, inclusi i messaggi di errore. Quando viene utilizzata l'opzione /quiet, è opportuno che gli amministratori adottino uno dei metodi supportati per verificare che l'installazione sia avvenuta correttamente. È inoltre consigliabile esaminare il file KB896426.log per individuare eventuali messaggi di errore registrati quando questa opzione è attivata.

Per installare l'aggiornamento per la protezione senza imporre il riavvio del sistema, immettere la riga seguente al prompt dei comandi di Windows Server 2003:

Windowsserver2003-kb896426-x86-enu /norestart

Per informazioni su come eseguire il deployment di questo aggiornamento per la protezione con Software Update Services, visitare il sito Web Software Update Services.

Necessità di riavvio

Dopo l'applicazione dell'aggiornamento per la protezione è necessario riavviare il sistema. Per ulteriori informazioni sui motivi della richiesta di riavvio del computer, vedere l'articolo della Microsoft Knowledge Base 887012.

Informazioni per la rimozione

Per rimuovere questo aggiornamento, utilizzare Installazione applicazioni dal Pannello di controllo.

Gli amministratori di sistema possono inoltre rimuovere l'aggiornamento per la protezione mediante l'utilità Spuninst.exe, disponibile nella cartella %Windir%\$NTUninstallKB896426$\Spuninst.

Informazioni sui file

I file della versione inglese di questo aggiornamento per la protezione presentano gli attributi riportati nella tabella che segue. Le date e le ore dei file indicati nella tabella sono espressi utilizzando l'ora UTC (Coordinated Universal Time). Al momento della visualizzazione, tali informazioni verranno convertite nella data e nell'ora locali. Per informazioni sulle differenze fra l'ora UTC e l'ora locale, utilizzare la scheda Fuso orario dello strumento Data/Ora del Pannello di controllo.

Windows Server 2003, Web Edition; Windows Server 2003, Standard Edition; Windows Server 2003, Enterprise Edition; Windows Server 2003, Datacenter Edition e Windows Small Business Server 2003:

Windows Server 2003, Enterprise Edition per sistemi basati su Itanium e Windows Server 2003, Datacenter Edition per sistemi basati su Itanium:

Nota Quando si installa questo aggiornamento per la protezione in un sistema Windows Server 2003, il programma di installazione verifica se uno o più file da aggiornare nel sistema sono stati aggiornati in precedenza mediante un aggiornamento rapido Microsoft. Se un file interessato è stato aggiornato mediante l'installazione di un aggiornamento rapido precedente, il programma di installazione copia nel sistema i file della cartella RTMQFE. In caso contrario, copia nel sistema i file della cartella RTMGDR.

Per ulteriori informazioni in merito, vedere l'articolo della Microsoft Knowledge Base 824994.

Per ulteriori informazioni sul programma di installazione Update.exe, visitare il sito Web Microsoft TechNet.

Per ulteriori informazioni sulla terminologia utilizzata nel presente bollettino, ad esempio su ciò che si intende per aggiornamento rapido, vedere l'articolo della Microsoft Knowledge Base 824684.

Verifica dell'applicazione dell'aggiornamento

Prerequisiti
Per questo aggiornamento per la protezione è necessario Microsoft Windows XP Service Pack 1. Per ulteriori informazioni, vedere l'articolo della Microsoft Knowledge Base 322389.

Disponibilità nei service pack futuri:
La correzione per questo problema è inclusa in Windows XP Service Pack 2.

Informazioni per l'installazione

Questo aggiornamento per la protezione supporta le seguenti opzioni del programma di installazione.

Nota È possibile combinare queste opzioni in un unico comando. Per garantire la compatibilità con le versioni precedenti, l'aggiornamento per la protezione supporta anche le opzioni utilizzate dalla versione precedente del programma di installazione. Per ulteriori informazioni sulle opzioni di installazione supportate, consultare l'articolo della Microsoft Knowledge Base 262841. Per ulteriori informazioni sul programma di installazione Update.exe, visitare il sito Web Microsoft TechNet.

Informazioni per il deployment

Per installare l'aggiornamento per la protezione senza l'intervento dell'utente, immettere la riga seguente al prompt dei comandi di Microsoft Windows XP:

Windowsxp-kb896426-x86-enu /quiet

Nota L'utilizzo dell'opzione /quiet evita di visualizzare tutti i messaggi, inclusi i messaggi di errore. Quando viene utilizzata l'opzione /quiet, è opportuno che gli amministratori adottino uno dei metodi supportati per verificare che l'installazione sia avvenuta correttamente. È inoltre consigliabile esaminare il file KB896426.log per individuare eventuali messaggi di errore registrati quando questa opzione è attivata.

Per installare l'aggiornamento per la protezione senza imporre il riavvio del sistema, immettere la riga seguente al prompt dei comandi di Windows XP:

Windowsxp-kb896426-x86-enu /norestart

Per informazioni su come eseguire il deployment di questo aggiornamento per la protezione con Software Update Services, visitare il sito Web Software Update Services.

Necessità di riavvio

Dopo l'applicazione dell'aggiornamento per la protezione è necessario riavviare il sistema. Per ulteriori informazioni sui motivi della richiesta di riavvio del computer, vedere l'articolo della Microsoft Knowledge Base 887012.

Informazioni per la rimozione

Per rimuovere questo aggiornamento per la protezione, utilizzare lo strumento Installazione applicazioni del Pannello di controllo.

Gli amministratori di sistema possono inoltre rimuovere l'aggiornamento per la protezione mediante l'utilità Spuninst.exe, disponibile nella cartella %Windir%\$NTUninstallKB896426$\Spuninst.

Informazioni sui file

I file della versione inglese di questo aggiornamento per la protezione presentano gli attributi riportati nella tabella che segue. Le date e le ore dei file indicati nella tabella sono espressi utilizzando l'ora UTC (Coordinated Universal Time). Al momento della visualizzazione, tali informazioni verranno convertite nella data e nell'ora locali. Per informazioni sulle differenze fra l'ora UTC e l'ora locale, utilizzare la scheda Fuso orario dello strumento Data/Ora del Pannello di controllo.

Windows XP Home Edition Service Pack 1, Windows XP Professional Service Pack 1, Windows XP Tablet PC Edition e Windows XP Media Center Edition:

Windows XP 64-Bit Edition Service Pack 1 (Itanium):

Windows XP 64-Bit Edition versione 2003 (Itanium):

Note Quando si installano questi aggiornamenti per la protezione, il programma di installazione verifica se uno o più file da aggiornare nel sistema sono stati aggiornati in precedenza mediante una correzione rapida Microsoft.

Se un file interessato è stato aggiornato mediante l'installazione di una correzione rapida precedente, il programma di installazione copia nel sistema i file della cartella RTMQFE. In caso contrario, copia nel sistema i file della cartella RTMGDR.

Per ulteriori informazioni in merito, vedere l'articolo della Microsoft Knowledge Base 824994.

Per ulteriori informazioni sul programma di installazione Update.exe, visitare il sito Web Microsoft TechNet.

Per ulteriori informazioni sulla terminologia utilizzata nel presente bollettino, ad esempio su ciò che si intende per aggiornamento rapido, vedere l'articolo della Microsoft Knowledge Base 824684.

Nota L'aggiornamento per la protezione di Windows XP 64-Bit Edition versione 2003 (Itanium) è identico all'aggiornamento per la protezione di Windows Server 2003 per sistemi basati su Itanium.

Verifica dell'applicazione dell'aggiornamento