Bollettino Microsoft sulla sicurezza MS07-027

In uno scenario di attacco basato sul Web, un utente malintenzionato potrebbe pubblicare un sito contenente una pagina appositamente predisposta per sfruttare questa vulnerabilità. Inoltre, siti Web che accettano o ospitano contenuti forniti dagli utenti o server di siti Web e annunci pubblicitari manomessi possono includere contenuti appositamente predisposti in grado di sfruttare questa vulnerabilità. L'utente malintenzionato dovrebbe invece convincere le vittime a visitare il sito Web, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito.

Sfruttando questa vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente dell'utente locale. Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione.

Per impostazione predefinita, tutte le versioni supportate di Microsoft Outlook e Microsoft Outlook Express aprono i messaggi di posta elettronica in formato HTML nell'area Siti con restrizioni. L'area Siti con restrizioni consente di ridurre il numero di attacchi volti a sfruttare questa vulnerabilità impedendo l'esecuzione di script attivi e l'utilizzo di controlli ActiveX durante la lettura di posta elettronica in formato HTML. Tuttavia, se si fa clic su un collegamento presente in un messaggio di posta elettronica, tale vulnerabilità potrebbe ancora sussistere nello scenario di attacco dal Web.

Per impostazione predefinita, in Windows Server 2003 Internet Explorer viene eseguito in una modalità limitata denominata Protezione avanzata. Il livello di protezione per l'area Internet viene così impostato su Alta. Questo è un fattore attenuante per i siti Web che non sono stati aggiunti all'area Siti attendibili di Internet Explorer. Vedere la sottosezione Domande frequenti nella sezione dedicata a questa vulnerabilità per ulteriori informazioni sulla Protezione avanzata di Internet Explorer.

Gli oggetti COM di cui non deve essere creata un'istanza in Internet Explorer non sono inclusi nell'elenco Consenti predefinito per i controlli ActiveX di Windows Internet Explorer 7. I clienti che eseguono Windows Internet Explorer 7 con le impostazioni predefinite non sono pertanto esposti finché tali oggetti COM non vengono attivati tramite la funzione ActiveX con consenso esplicito nell'area Internet. I clienti che eseguono l'aggiornamento a Windows Internet Explorer 7 e hanno attivato questi oggetti COM in versioni precedenti di Internet Explorer, li troveranno attivati anche in Windows Internet Explorer 7. Per ulteriori informazioni sulla funzione ActiveX con consenso esplicito e su come aggiungere i controlli ActiveX all'elenco pre-approvato, vedere la documentazione del prodotto.

Configurare Internet Explorer in modo che venga richiesta conferma prima dell'esecuzione dei controlli ActiveX oppure disattivare tali controlli nelle aree di protezione Internet e Intranet locale.

La modifica delle impostazioni di Internet Explorer in modo che venga richiesta conferma prima di eseguire i controlli ActiveX assicura la protezione del computer da questa vulnerabilità. A tale scopo, attenersi alla seguente procedura:

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di controlli ActiveX può avere effetti collaterali. Numerosi siti Web su Internet utilizzano componenti ActiveX per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare controlli ActiveX per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione dei controlli ActiveX è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione dei controlli ActiveX. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

Impostare il livello dell'area di protezione Internet e Intranet locale su "Alta" in modo che venga richiesta conferma dell'esecuzione di controlli ActiveX e script attivo in queste aree

La modifica delle impostazioni relative all'area di protezione Internet in modo che venga richiesta conferma prima di eseguire i controlli ActiveX assicura la protezione del computer da questa vulnerabilità. Tale operazione può essere eseguita impostando la protezione del browser su Alta.

Per aumentare il livello di protezione del browser in Microsoft Internet Explorer, attenersi alla seguente procedura:

Nota Se il dispositivo di scorrimento non è visibile, fare clic su Livello predefinito, quindi spostare il dispositivo di scorrimento su Alta.

Nota Con l'impostazione della protezione su Alta, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si incontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente anche quando la protezione è impostata su Alta.

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di controlli ActiveX può avere effetti collaterali. Numerosi siti Web su Internet utilizzano componenti ActiveX per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare controlli ActiveX per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione dei controlli ActiveX è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione dei controlli ActiveX. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

Non consentire l'esecuzione degli oggetti COM in Internet Explorer

È possibile disattivare i tentativi di creare un'istanza di un oggetto COM in Internet Explorer impostando il kill bit per il controllo nel Registro di sistema.

Avvertenza L'utilizzo non corretto dell'Editor del Registro di sistema potrebbe causare problemi tali da rendere necessaria la reinstallazione del sistema operativo. Microsoft non garantisce la risoluzione di problemi dovuti a un utilizzo non corretto dell'Editor del Registro di sistema. È quindi necessario utilizzare questo strumento con grande attenzione.

Per ulteriori informazioni su come impedire l'esecuzione di un controllo in Internet Explorer, vedere l'articolo della Microsoft Knowledge Base 240797. Seguire la procedura descritta e creare un valore Compatibility Flags nel Registro di sistema in modo da impedire la creazione di un'istanza dell'oggetto COM in Internet Explorer.

Nota Gli identificatori di classe e i file corrispondenti in cui sono contenuti gli oggetti COM vengono riportati in "Quali sono gli scopi dell'aggiornamento?" nella sezione "Domande frequenti sulla vulnerabilità legata al danneggiamento della memoria con la creazione di istanze di oggetti COM - CVE-2007-0942". Sostituire {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} qui sotto con gli identificatori di classe trovati in questa sezione.

Per impostare il kill bit per il controllo CLSID con il valore {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}, incollare il seguente testo in un editor di testo come Blocco note. Successivamente, salvare il file utilizzando l'estensione di nome file reg.

Editor del Registro di sistema di Windows versione 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{ XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX }]
"Compatibility Flags"=dword:00000400

Questo file .reg può essere applicato a singoli sistemi facendo doppio clic su di esso. Inoltre, può essere applicato in domini diversi utilizzando i Criteri di gruppo. Per ulteriori informazioni sui Criteri di gruppo, visitare i seguenti siti Web Microsoft:

Insieme di Criteri di gruppo

Che cos'è un Editor oggetti Criteri di gruppo?

Strumenti e impostazioni principali di Criteri di gruppo

Nota È necessario riavviare Internet Explorer per rendere operative queste modifiche.

Impatto della soluzione alternativa: Non esiste alcun effetto se non si prevede l'uso dell'oggetto COM in Internet Explorer.

La protezione per l'area Internet viene impostata su Alta. Questa impostazione disattiva gli script, i componenti ActiveX, il contenuto HTML di Microsoft Virtual Machine (Microsoft VM) e il download di file.

Il rilevamento automatico dei siti Intranet viene disattivato. Questa impostazione assegna all'area Internet tutti i siti Web Intranet e tutti i percorsi UNC (Universal Naming Convention) non esplicitamente elencati nell'area Intranet locale.

L'installazione su richiesta e le estensioni non Microsoft per il browser vengono disattivate. Questa impostazione impedisce alle pagine Web di installare componenti automaticamente e blocca l'esecuzione delle estensioni non Microsoft.

Il contenuto multimediale viene disabilitato. Questa impostazione impedisce la riproduzione di musica, animazioni e clip video.

In uno scenario di attacco basato sul Web, l'utente malintenzionato potrebbe pubblicare un sito Web contenente una pagina utilizzata per sfruttare la vulnerabilità. Inoltre, i siti Web manomessi e quelli che accettano o ospitano contenuti o annunci pubblicitari forniti dagli utenti potrebbero presentare contenuti appositamente predisposti per sfruttare questa vulnerabilità. In tutti questi casi, comunque, non è in alcun modo possibile obbligare gli utenti a visitare questi siti Web. L'utente malintenzionato dovrebbe invece convincere le vittime a visitare il sito Web, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito.

Sfruttando questa vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente dell'utente locale. Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione.

L'area Siti con restrizioni consente di ridurre gli attacchi volti a sfruttare questa vulnerabilità impedendo l'utilizzo di script attivo durante la lettura di posta elettronica in formato HTML. Tuttavia, se si fa clic su un collegamento presente in un messaggio di posta elettronica, tale vulnerabilità potrebbe ancora sussistere con le modalità descritte nello scenario di attacco dal Web.

Per impostazione predefinita, in Windows Server 2003 Internet Explorer viene eseguito in una modalità limitata denominata Protezione avanzata. Il livello di protezione per l'area Internet viene così impostato su Alta. Questo è un fattore attenuante per i siti Web che non sono stati aggiunti all'area Siti attendibili di Internet Explorer. Per ulteriori informazioni sulla Protezione avanzata di Internet Explorer, consultare la sezione Domande frequenti di questo aggiornamento per la protezione.

Configurare Internet Explorer in modo che venga richiesta conferma prima dell'esecuzione di script attivo oppure disattivare tali script nell'area di protezione Internet e Intranet locale

È possibile contribuire a una protezione più efficace del sistema dai rischi connessi a questa vulnerabilità modificando le impostazioni in modo che venga richiesta conferma prima di eseguire script attivo o vengano disattivati tali script nell'area di protezione Internet e Intranet locale. A tale scopo, attenersi alla seguente procedura:

Nota Se si disattiva Esecuzione script attivo nelle aree di protezione Internet e Intranet locale, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si incontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente.

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o sua una rete Intranet utilizzano script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare script attivo per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione di script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

Impostare il livello dell'area di protezione Internet e Intranet locale su "Alta" in modo che venga richiesta conferma dell'esecuzione di controlli ActiveX e script attivo in queste aree

La modifica delle impostazioni relative all'area di protezione Internet in modo che venga richiesta conferma prima di eseguire i controlli ActiveX assicura la protezione del computer da questa vulnerabilità. Tale operazione può essere eseguita impostando la protezione del browser su Alta.

Per aumentare il livello di protezione del browser in Microsoft Internet Explorer, attenersi alla seguente procedura:

Nota Se il dispositivo di scorrimento non è visibile, fare clic su Livello predefinito, quindi spostare il dispositivo di scorrimento su Alta.

Nota Con l'impostazione della protezione su Alta, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si incontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente anche quando la protezione è impostata su Alta.

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di controlli ActiveX e di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o sua una rete Intranet utilizzano ActiveX o script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare controlli ActiveX per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di controlli ActiveX o script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione dei controlli ActiveX o script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

La protezione per l'area Internet viene impostata su Alta. Mediante questa impostazione, vengono disattivati gli script, i controlli ActiveX, Microsoft Java Virtual Machine (MSJVM) e i download dei file.

Il rilevamento automatico dei siti Intranet viene disattivato. Questa impostazione assegna all'area Internet tutti i siti Web Intranet e tutti i percorsi UNC (Universal Naming Convention) non esplicitamente elencati nell'area Intranet locale.

L'installazione su richiesta e le estensioni non Microsoft per il browser vengono disattivate. Questa impostazione impedisce alle pagine Web di installare componenti automaticamente e blocca l'esecuzione delle estensioni non Microsoft.

Il contenuto multimediale viene disabilitato. Questa impostazione impedisce la riproduzione di musica, animazioni e clip video.

In uno scenario di attacco basato sul Web, l'utente malintenzionato potrebbe pubblicare un sito Web contenente una pagina utilizzata per sfruttare la vulnerabilità. Inoltre, i siti Web manomessi e quelli che accettano o ospitano contenuti o annunci pubblicitari forniti dagli utenti potrebbero presentare contenuti appositamente predisposti per sfruttare questa vulnerabilità. In tutti questi casi, comunque, non è in alcun modo possibile obbligare gli utenti a visitare questi siti Web. L'utente malintenzionato dovrebbe invece convincere le vittime a visitare il sito Web, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito.

Sfruttando questa vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente dell'utente locale. Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione.

Per impostazione predefinita, tutte le versioni supportate di Microsoft Outlook e Microsoft Outlook Express aprono i messaggi di posta elettronica in formato HTML nell'area Siti con restrizioni. L'area Siti con restrizioni consente di ridurre il numero di attacchi volti a sfruttare questa vulnerabilità impedendo l'esecuzione di script attivi e l'utilizzo di controlli ActiveX durante la lettura di posta elettronica in formato HTML. Tuttavia, se si fa clic su un collegamento presente in un messaggio di posta elettronica, tale vulnerabilità potrebbe ancora sussistere nello scenario di attacco dal Web.

Non è stato stabilito che questa vulnerabilità possa essere sfruttata senza utilizzare Esecuzione script attivo che, tuttavia, aumenta notevolmente le possibilità che un utente malintenzionato riesca a sfruttare la vulnerabilità. Questa vulnerabilità è stata associata quindi a un livello di gravità Critico in Windows Server 2003.

Microsoft Internet Explorer 5.01 Service Pack 4 in Windows 2000 Service Pack 4 non è interessato da questa vulnerabilità.

Configurare Internet Explorer in modo che venga richiesta conferma prima dell'esecuzione di script attivo oppure disattivare tali script nell'area di protezione Internet e Intranet locale

È possibile contribuire a una protezione più efficace del sistema dai rischi connessi a questa vulnerabilità modificando le impostazioni in modo che venga richiesta conferma prima di eseguire script attivo o vengano disattivati tali script nell'area di protezione Internet e Intranet locale. A tale scopo, attenersi alla seguente procedura:

Nota Se si disattiva Esecuzione script attivo nelle aree di protezione Internet e Intranet locale, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si incontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente.

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o sua una rete Intranet utilizzano script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare script attivo per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione di script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

Impostare il livello dell'area di protezione Internet e Intranet locale su "Alta" in modo che venga richiesta conferma dell'esecuzione di controlli ActiveX e script attivo in queste aree

È possibile aumentare la protezione nei confronti di questa vulnerabilità modificando le impostazioni relative all'area Internet in modo da visualizzare un messaggio di conferma prima dell'esecuzione di controlli ActiveX e script attivo. Tale operazione può essere eseguita impostando la protezione del browser su Alta.

Per aumentare il livello di protezione del browser in Microsoft Internet Explorer, attenersi alla seguente procedura:

Nota Se il dispositivo di scorrimento non è visibile, fare clic su Livello predefinito, quindi spostare il dispositivo di scorrimento su Alta.

Nota Con l'impostazione della protezione su Alta, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si incontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente anche quando la protezione è impostata su Alta.

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di controlli ActiveX e di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o sua una rete Intranet utilizzano ActiveX o script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare controlli ActiveX per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di controlli ActiveX o script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione dei controlli ActiveX o script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

La protezione per l'area Internet viene impostata su Alta. Mediante questa impostazione, vengono disattivati gli script, i controlli ActiveX, Microsoft Java Virtual Machine (MSJVM) e i download dei file.

Il rilevamento automatico dei siti Intranet viene disattivato. Questa impostazione assegna all'area Internet tutti i siti Web Intranet e tutti i percorsi UNC (Universal Naming Convention) non esplicitamente elencati nell'area Intranet locale.

L'installazione su richiesta e le estensioni non Microsoft per il browser vengono disattivate. Questa impostazione impedisce alle pagine Web di installare componenti automaticamente e blocca l'esecuzione delle estensioni non Microsoft.

Il contenuto multimediale viene disabilitato. Questa impostazione impedisce la riproduzione di musica, animazioni e clip video.

In uno scenario di attacco dal Web, l'utente malintenzionato potrebbe pubblicare un sito contenente una pagina appositamente predisposta per sfruttare queste vulnerabilità. Inoltre, i siti Web manomessi e quelli che accettano o ospitano contenuti o annunci pubblicitari forniti dagli utenti potrebbero presentare contenuti appositamente predisposti per sfruttare queste vulnerabilità. In tutti questi casi, comunque, non è in alcun modo possibile obbligare gli utenti a visitare questi siti Web. L'utente malintenzionato dovrebbe invece convincere le vittime a visitare il sito Web, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito.

Sfruttando queste vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente dell'utente locale. Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione.

Per impostazione predefinita, tutte le versioni supportate di Microsoft Outlook e Microsoft Outlook Express aprono i messaggi di posta elettronica in formato HTML nell'area Siti con restrizioni. L'area Siti con restrizioni consente di ridurre il numero di attacchi volti a sfruttare queste vulnerabilità impedendo l'esecuzione di script attivi e l'utilizzo di controlli ActiveX durante la lettura di posta elettronica in formato HTML. Tuttavia, se si fa clic su un collegamento presente in un messaggio di posta elettronica, tale vulnerabilità potrebbe ancora sussistere nello scenario di attacco dal Web.

Non è stato stabilito che queste vulnerabilità possano essere sfruttate senza utilizzare Esecuzione script attivo che, tuttavia, aumenta notevolmente le possibilità che un utente malintenzionato riesca a sfruttare la vulnerabilità. Queste vulnerabilità sono state associate quindi a un livello di gravità Critico in Windows Server 2003.

Configurare Internet Explorer in modo che venga richiesta conferma prima dell'esecuzione di script attivo oppure disattivare tali script nell'area di protezione Internet e Intranet locale

È possibile contribuire a una protezione più efficace del sistema dai rischi connessi a questa vulnerabilità modificando le impostazioni in modo che venga richiesta conferma prima di eseguire script attivo o vengano disattivati tali script nell'area di protezione Internet e Intranet locale. A tale scopo, attenersi alla seguente procedura:

Nota Se si disattiva Esecuzione script attivo nelle aree di protezione Internet e Intranet locale, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si incontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente.

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o sua una rete Intranet utilizzano script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare script attivo per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione di script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

Impostare il livello dell'area di protezione Internet e Intranet locale su "Alta" in modo che venga richiesta conferma dell'esecuzione di controlli ActiveX e script attivo in queste aree

La modifica delle impostazioni relative all'area di protezione Internet in modo che venga richiesta conferma prima di eseguire i controlli ActiveX assicura la protezione del computer da questa vulnerabilità. Tale operazione può essere eseguita impostando la protezione del browser su Alta.

Per aumentare il livello di protezione del browser in Microsoft Internet Explorer, attenersi alla seguente procedura:

Nota Se il dispositivo di scorrimento non è visibile, fare clic su Livello predefinito, quindi spostare il dispositivo di scorrimento su Alta.

Nota Con l'impostazione della protezione su Alta, alcuni siti Web potrebbero non funzionare nel modo corretto. Se si incontrano difficoltà nell'utilizzo di un sito Web dopo aver effettuato questa modifica e si è certi che il sito è sicuro, è possibile aggiungere il sito all'elenco Siti attendibili. In questo modo il sito funzionerà correttamente anche quando la protezione è impostata su Alta.

Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer.

Dopo l'impostazione della richiesta di conferma prima dell'esecuzione di controlli ActiveX e script attivo nelle aree Internet e Intranet locale, è possibile aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer. In questo modo è possibile continuare a utilizzare i siti Web attendibili nel modo abituale, proteggendo al tempo stesso il sistema da eventuali attacchi dai siti non attendibili. Si raccomanda di aggiungere all'area Siti attendibili solo i siti effettivamente ritenuti attendibili.

A tale scopo, attenersi alla seguente procedura:

Nota È possibile aggiungere qualsiasi sito che si ritiene non eseguirà operazioni dannose sul computer. In particolare è utile aggiungere i due siti "*.windowsupdate.microsoft.com" e "*.update.microsoft.com" (senza le virgolette), ovvero i siti che ospiteranno l'aggiornamento per cui è richiesto l'utilizzo di un controllo ActiveX per l'installazione.

Impatto della soluzione alternativa: La visualizzazione di una richiesta di conferma prima dell'esecuzione di controlli ActiveX e di script attivo può avere effetti collaterali. Numerosi siti Web su Internet o sua una rete Intranet utilizzano ActiveX o script attivo per offrire funzionalità aggiuntive. Un sito di e-commerce o di online banking, ad esempio, può utilizzare controlli ActiveX per la visualizzazione dei menu, dei moduli d'ordine o degli estratti conto. La richiesta di conferma prima dell'esecuzione di controlli ActiveX o script attivo è un'impostazione globale per tutti i siti Internet e Intranet. Se si utilizza questa soluzione alternativa, le richieste di conferma verranno visualizzate di frequente. A ogni richiesta di conferma, se si ritiene che il sito da visitare sia attendibile, fare clic su Sì per consentire l'esecuzione dei controlli ActiveX o script attivo. Se non si desidera che venga richiesta conferma per tutti i siti, utilizzare la procedura descritta in "Aggiungere i siti ritenuti attendibili all'area Siti attendibili di Internet Explorer".

La protezione per l'area Internet viene impostata su Alta. Mediante questa impostazione, vengono disattivati gli script, i controlli ActiveX, Microsoft Java Virtual Machine (MSJVM) e i download dei file.

Il rilevamento automatico dei siti Intranet viene disattivato. Questa impostazione assegna all'area Internet tutti i siti Web Intranet e tutti i percorsi UNC (Universal Naming Convention) non esplicitamente elencati nell'area Intranet locale.

L'installazione su richiesta e le estensioni non Microsoft per il browser vengono disattivate. Questa impostazione impedisce alle pagine Web di installare componenti automaticamente e blocca l'esecuzione delle estensioni non Microsoft.

Il contenuto multimediale viene disabilitato. Questa impostazione impedisce la riproduzione di musica, animazioni e clip video.

In uno scenario di attacco basato sul Web, un utente malintenzionato potrebbe pubblicare un sito contenente una pagina appositamente predisposta per sfruttare questa vulnerabilità. Inoltre, siti Web che accettano o ospitano contenuti forniti dagli utenti o server di siti Web e annunci pubblicitari manomessi possono includere contenuti appositamente predisposti in grado di sfruttare questa vulnerabilità. L'utente malintenzionato dovrebbe invece convincere le vittime a visitare il sito Web, in genere inducendole a fare clic su un collegamento in un messaggio di posta elettronica o di Instant Messenger che le indirizzi al sito.

Sfruttando questa vulnerabilità, un utente malintenzionato può ottenere gli stessi diritti utente dell'utente locale. Gli utenti con account configurati in modo da disporre solo di diritti limitati sono esposti all'attacco in misura inferiore rispetto a quelli che operano con privilegi di amministrazione.

Gli oggetti COM di cui non deve essere creata un'istanza in Internet Explorer non sono inclusi nell'elenco Consenti predefinito per i controlli ActiveX di Windows Internet Explorer 7. I clienti che eseguono Windows Internet Explorer 7 con le impostazioni predefinite non sono pertanto esposti finché tali oggetti COM non vengono attivati tramite la funzione ActiveX con consenso esplicito nell'area Internet. I clienti che eseguono l'aggiornamento a Windows Internet Explorer 7 e hanno attivato questi oggetti COM in versioni precedenti di Internet Explorer, li troveranno attivati anche in Windows Internet Explorer 7. Per ulteriori informazioni sulla funzione ActiveX con consenso esplicito e su come aggiungere i controlli ActiveX all'elenco pre-approvato, vedere la documentazione del prodotto.

Non consentire l'esecuzione degli oggetti in Internet Explorer

È possibile disattivare i tentativi di creare un'istanza di un oggetto COM in Internet Explorer impostando il kill bit per il controllo nel Registro di sistema.

Avvertenza L'utilizzo non corretto dell'Editor del Registro di sistema potrebbe causare problemi tali da rendere necessaria la reinstallazione del sistema operativo. Microsoft non garantisce la risoluzione di problemi dovuti a un utilizzo non corretto dell'Editor del Registro di sistema. È quindi necessario utilizzare questo strumento con grande attenzione.

Per ulteriori informazioni su come impedire l'esecuzione di un controllo in Internet Explorer, vedere l'articolo della Microsoft Knowledge Base 240797. Seguire la procedura descritta e creare un valore Compatibility Flags nel Registro di sistema in modo da impedire la creazione di un'istanza dell'oggetto COM in Internet Explorer.

Nota Gli identificatori di classe e i file corrispondenti in cui sono contenuti gli oggetti COM vengono riportati in "Quali sono gli scopi dell'aggiornamento?" nella sezione "Domande frequenti sulla vulnerabilità legata alla riscrittura di file non autorizzata - CVE-2007-2221". Sostituire {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX} qui sotto con gli identificatori di classe trovati in questa sezione.

Per impostare il kill bit per il controllo CLSID con il valore {XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}, incollare il seguente testo in un editor di testo come Blocco note. Successivamente, salvare il file utilizzando l'estensione di nome file reg.

Editor del Registro di sistema di Windows versione 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{ XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX }]
"Compatibility Flags"=dword:00000400

Questo file .reg può essere applicato a singoli sistemi facendo doppio clic su di esso. Inoltre, può essere applicato in domini diversi utilizzando i Criteri di gruppo. Per ulteriori informazioni sui Criteri di gruppo, visitare i seguenti siti Web Microsoft:

Insieme di Criteri di gruppo

Che cos'è un Editor oggetti Criteri di gruppo?

Strumenti e impostazioni principali di Criteri di gruppo

Nota È necessario riavviare Internet Explorer per rendere operative queste modifiche.

Impatto della soluzione alternativa: Non esiste alcun effetto se non si prevede l'uso dell'oggetto COM in Internet Explorer.

Disinstallare Windows Media Server 4.1

Rimuovere Windows Media Server 4.1 dai sistemi che non ne supportano l'esecuzione

Impatto della soluzione alternativa: Le funzionalità di Windows Media Server 4.1 non saranno più accessibili