MS02-065: Il sovraccarico del buffer in Microsoft Data Access Components può portare all'esecuzione del codice (MDAC 2.6)

MDAC è una raccolta di componenti utilizzati per fornire connettività di database su sistemi operativi Windows. Si tratta di una tecnologia molto diffusa e in quanto tale è probabile che sia presente sulla maggior parte dei sistemi Windows, tra cui:

• MDAC è incluso per impostazione predefinita in Windows XP, Windows 2000 e Windows Millennium.
• MDAC è disponibile per il download come tecnologia autonoma.
• MDAC è incluso o viene installato da numerosi altri prodotti e tecnologie.
  • MDAC è incluso in Microsoft Windows NT 4.0 Option Pack.
  • Alcuni componenti di MDAC sono inclusi in Internet Explorer, anche se MDAC non è installato.

MDAC offre funzionalità di base per numerose operazioni di database, quali la connessione a database remoti e la restituzione di dati a un client. Il componente RDS (Remote Data Services) di MDAC fornisce funzionalità di supporto per architetture a tre livelli. Nelle architetture a tre livelli un client invia le proprie richieste di servizi a un database di back-end, le quali vengono soddisfatte mediante l'intermediazione di un sito Web che applica una determinata logica di business.

L'implementazione RDS presenta un problema di protezione relativo allo stub di dati RDS. Lo stub di dati analizza le richieste HTTP in arrivo e genera dei comandi RDS. Un problema di protezione causato da un buffer non controllato nello stub dei dati riguarda le versioni di MDAC precedenti alla 2.7 (la versione fornita con Windows XP). Inviando una richiesta HTTP formulata erroneamente allo stub di dati, un utente malintenzionato potrebbe riuscire a inserire dati arbitrari nell'heap. Sebbene il sovraccarico di heap sia solitamente più difficile da sfruttare del ben più comune sovraccarico di stack, Microsoft ha confermato che in questo caso sarebbe possibile sfruttare questo problema di protezione per eseguire il codice dell'utente malintenzionato nel sistema dell'utente.

Sia server Web che client Web sono esposti a tale rischio.

• I server Web sono a rischio se una versione vulnerabile di MDAC è installata ed eseguita sul server. Per sfruttare questo problema di protezione in un server Web, un utente malintenzionato dovrebbe stabilire una connessione al server e inviargli una richiesta HTTP formulata intenzionalmente in modo errato. Questo causerebbe il sovraccarico del buffer con i dati scelti dall'aggressore e il codice verrebbe eseguito nell'ambito del contesto di protezione del servizio IIS (per impostazione predefinita il servizio IIS viene eseguito nel contesto LocalSystem).
• I client Web sono a rischio praticamente in qualsiasi condizione. Lo stub di dati RDS è infatti incluso in tutte le versioni correnti di Internet Explorer e non è possibile disattivarlo. Per sfruttare questo problema di protezione in un client, un utente malintenzionato dovrebbe ospitare una pagina Web che invii una risposta HTTP al sistema dell'utente quando è aperto e causare il sovraccarico del buffer con i dati scelti dall'aggressore. Questa pagina Web potrebbe trovarsi in un sito Web o essere inviata direttamente all'utente sotto forma di messaggio di posta elettronica HTML. Il codice viene eseguito nell'ambito del contesto di protezione dell'utente.

Si tratta di un problema di protezione molto serio e in quanto tale Microsoft raccomanda che tutti coloro che dispongono di sistemi vulnerabili adottino immediatamente le contromisure appropriate. A tale proposito, effettuare le seguenti operazioni:

• Coloro che utilizzano Windows XP o che hanno installato MDAC 2.7 nei propri sistemi non corrono alcun rischio e non devono adottare alcuna contromisura.
• Gli amministratori di server Web che eseguono la versione vulnerabile di MDAC devono installare la patch per la protezione, disabilitare l'accesso RDS tramite IIS o effettuare l'aggiornamento a MDAC 2.7.
• Gli utenti di client Web che eseguono una versione vulnerabile di MDAC devono installare immediatamente la patch per la protezione in qualsiasi sistema utilizzato per la navigazione sul Web, indipendentemente da eventuali altre misure protettive adottate. Ad esempio, in un server Web su cui sia stato disattivato RDS sarà comunque necessario installare la patch per la protezione se viene utilizzato occasionalmente come client Web.
• Se la patch per la protezione viene installata in un server che esegue Windows 2000 SP3, i servizi SUS (Software Update Service) smetteranno di funzionare correttamente. Per aggirare il problema, mantenere le funzionalità dei servizi SUS e allo stesso tempo correggere il problema di sovraccarico del buffer, effettuare l'aggiornamento a MDAC 2.7

Informazioni sui service pack

Per risolvere questo problema è necessario ottenere la versione più recente del service pack per Microsoft Windows 2000. Per ulteriori informazioni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:

Informazioni sull'aggiornamento rapido

È disponibile una correzione supportata da Microsoft, che è tuttavia destinata esclusivamente alla correzione del problema descritto in questo articolo. Applicarla solo ai computer che si ritengono soggetti al rischio di attacchi. Per determinare il livello di rischio cui è soggetto il computer, valutarne attentamente il grado di accessibilità fisica, la connessione di rete e a Internet e altri fattori. Vedere il relativo Bollettino Microsoft sulla sicurezza (http://www.microsoft.com/technet/security/bulletin/MS02-065.asp) (informazioni in lingua inglese) per determinare il livello di rischio. È possibile che su questa correzione vengano eseguite ulteriori verifiche. Se il computer è a rischio, si consiglia di applicare la correzione dell'errore immediatamente.

Per risolvere immediatamente questo problema, scaricare la correzione come indicato in questo articolo oppure contattare il Servizio Supporto Tecnico Clienti Microsoft. Per un elenco completo di numeri di telefono del Servizio Supporto Tecnico Clienti Microsoft (PSS) e per informazioni sui costi dell'assistenza, visitare il sito Web Microsoft all'indirizzo:NOTA: in casi particolari, le spese normalmente addebitate per le chiamate al servizio di supporto potrebbero essere annullate qualora un addetto del Supporto Tecnico Clienti Microsoft dovesse determinare che uno specifico aggiornamento risolverà il problema. I normali costi del Servizio Supporto Tecnico Clienti verranno applicati per eventuali ulteriori domande e problemi che non dovessero rientrare nello specifico aggiornamento in questione.

Informazioni sul download

Il seguente file è disponibile per il download dall'Area download Microsoft (l'installazione è in inglese):
Data di rilascio: 20 novembre 2002

Per ulteriori informazioni sul download di file di supporto Microsoft, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito: Il file è stato controllato e non contiene virus. Microsoft ha utilizzato il software antivirus più recente disponibile al momento della data di pubblicazione del file. Il file viene salvato su server con un livello di protezione avanzata che impedisce modifiche non autorizzate.

Informazioni sull'installazione

Questa patch per la protezione può essere installata in Windows 98, Windows 98 Seconda Edizione, Windows Millennium Edition (ME), Windows NT 4.0 Service Pack 6a (SP6a), Windows 2000 SP2 o Windows 2000 SP3. Per ulteriori informazioni sui service pack di Windows 2000 e Windows NT 4.0, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:

Riavviare il server Web una volta applicata la patch. Non è invece necessario riavviare il client Web. Questo aggiornamento supporta i seguenti parametri di installazione:

• /? - Consente di visualizzare l'elenco delle opzioni di installazione.
• /Q - Modalità non interattiva.
• /T:<percorso completo> - Consente di specificare la cartella temporanea di lavoro.
• /C - Consente di estrarre i file solo nella cartella specificata, se utilizzato assieme al parametro /T.
• /C:<Cmd> - Consente di ignorare il comando Install definito dall'autore.
• /N - Consente di non visualizzare alcuna finestra di dialogo relativa al riavvio.

La riga di comando riportata di seguito consente di installare l'aggiornamento senza intervento dell'utente:
Avviso Il computer risulterà vulnerabile finché non sarà stato riavviato.

Informazioni sui file

La versione in lingua inglese di questo aggiornamento rapido presenta gli attributi di file elencati nella tabella seguente (o attributi successivi). Date e ore elencate di seguito sono espresse in UTC. Quando si visualizzano le informazioni sul file, l'ora viene convertita in ora locale. Per calcolare la differenza tra l'ora UTC e quella locale, utilizzare la scheda Fuso orario dello strumento Data e ora del Pannello di controllo.

Nota Ai nomi di file di installazione riportati di seguito è aggiunta la versione di MDAC. I file installati vengono visualizzati nella cartella msadc senza l'indicazione della versione di MDAC nel nome del file.
Per MDAC 2.6, i file riportati di seguito vengono copiati nella cartella Programmi\File comuni\System\msadc:Per MDAC 2.5, i file riportati di seguito vengono copiati nella cartella Programmi\File comuni\System\msadc:Per MDAC 2.1, i file riportati di seguito vengono copiati nella cartella Programmi\File comuni\System\msadc:Nota A causa delle dipendenze fra i file, è possibile che questo aggiornamento contenga ulteriori file.

Microsoft ha confermato che questo problema può determinare una certa vulnerabilità nelle funzioni di protezione dei prodotti Microsoft elencati alla fine di questo articolo. Questo problema è stato corretto nel Service Pack 4 per Microsoft Windows 2000.

Per ulteriori informazioni su questi problemi di protezione, visitare il seguente sito Web Microsoft (informazioni in lingua inglese):