MS03-014: Patch cumulativa di aprile 2003 per Outlook Express

Microsoft ha rilasciato una patch cumulativa per Microsoft Outlook Express che comprende gli aggiornamenti per risolvere i problemi descritti nell'articolo della Microsoft Knowledge Base riportato di seguito:

La patch descritta in questo articolo è applicabile alle seguenti versioni di Microsoft Outlook Express:

• Microsoft Outlook Express 6.0 Service Pack 1, utilizzato con Internet Explorer 6.0 Service Pack 1 in Microsoft Windows 98 Seconda Edizione, Microsoft Windows Millennium Edition, Microsoft Windows NT 4.0 Service Pack 6a, Microsoft Windows 2000 Service Pack 2, Microsoft Windows 2000 Service Pack 3, Microsoft Windows XP (solo versioni a 32 bit) e Microsoft Windows XP Service Pack 1 (versioni a 32 o 64 bit).
• Microsoft Outlook Express 6.0, utilizzato con Internet Explorer 6.0 su sistema operativo Windows XP (solo versioni a 32 bit).
• Microsoft Outlook Express 5.5 Service Pack 2, utilizzato con Internet Explorer 5.5 Service Pack 2 in Windows 98 Seconda Edizione, Windows Millennium Edition, Windows NT 4.0 Service Pack 6a, Windows 2000 Service Pack 2 e Windows 2000 Service Pack 3 o Internet Explorer 5.01 Service Pack 3 in Windows 2000 Service Pack 3.

La patch descritta nel presente articolo consente di migliorare la protezione contro un problema di vulnerabilità esistente nel gestore degli URL MHTML, secondo cui tale gestore consente di aprire qualsiasi file convertibile in formato testo e di visualizzarlo all'interno di una pagina in Microsoft Internet Explorer. MHTML, acronimo di MIME Encapsulation of Aggregate HTML, è uno standard Internet che definisce la struttura MIME utilizzata per l'invio di contenuto HTML nel corpo dei messaggi di posta elettronica. Il gestore di URL MHTML in Windows fa parte di Outlook Express e fornisce un tipo di URL utilizzabile nel computer locale. Questo tipo di URL (MHTML://) consente l'apertura, in Internet Explorer, di documenti in formato MHTML tramite riga di comando dalla finestra di dialogo Esegui del menu Start o utilizzando Esplora risorse.

A causa di questo problema di vulnerabilità del gestore di URL MHTML, è possibile creare un URL (Uniform Resource Locator) che faccia riferimento a un file di testo memorizzato nel computer locale, rendendo tale file in formato HTML. Se il file di testo contiene script, questo script verrà eseguito al momento dell'accesso al file. Essendo residente nel computer locale, il file viene eseguito nell'area di protezione del computer locale. I file aperti in quest'area di protezione sono soggetti a un minor numero di restrizioni rispetto ai file aperti in altre aree di protezione.

Sfruttando questo metodo, un operatore malintenzionato può creare un URL e memorizzarlo su un sito Web o inviarlo tramite un messaggio di posta elettronica. Nello scenario basato sul Web, in cui un utente fa clic sull'URL memorizzato in un sito Web, l'operatore malintenzionato può essere in grado di leggere o aprire file già presenti nel computer locale. In un attacco tramite posta elettronica, se l'utente utilizza la configurazione predefinita di Outlook Express 6.0 o Microsoft Outlook 2002 oppure Microsoft Outlook 98 o Microsoft Outlook 2000 insieme all'aggiornamento per la protezione della posta elettronica di Outlook, l'attacco non potrà essere svolto automaticamente e l'utente dovrebbe fare clic sull'URL inviato nel messaggio di posta elettronica. Se tuttavia non viene utilizzata la configurazione predefinita di Outlook Express 6.0 o Outlook 2002 oppure Outlook 98 o 2000 con l'aggiornamento per la protezione della posta elettronica di Outlook, l'operatore malintenzionato potrà attivare l'attacco automaticamente senza che l'utente debba fare clic sull'URL contenuto in un messaggio di posta elettronica. In entrambi i casi, qualsiasi limitazione dei privilegi dell'utente costituisce una limitazione anche delle capacità dello script inviato dall'operatore malintenzionato.

L'applicazione della patch descritta nell'articolo della Microsoft Knowledge Base riportato di seguito contribuisce a bloccare la capacità di un hacker di caricare file nel computer di un utente, impedendo il passaggio di parametri a un file eseguibile. Ciò significa che l'operatore malintenzionato potrà solo avviare un programma già presente nel computer, ammesso che conosca il percorso esatto di tale programma, ma non sarà in grado di passare parametri al programma per l'esecuzione.

MHTML è uno standard per lo scambio di contenuto HTML tramite posta elettronica e per questo motivo la funzione del gestore di URL MHTML è stata implementata in Outlook Express. Anche tramite Internet Explorer è possibile visualizzare contenuto MHTML, tuttavia la funzione MHTML non è stata implementata separatamente in Internet Explorer. Per visualizzare contenuto MHTML viene infatti utilizzato Outlook Express.

Per ulteriori informazioni su questa patch, vedere il seguente Bollettino Microsoft sulla sicurezza:

Informazioni sul download

Il seguente file è disponibile per il download dall'Area download Microsoft:
Download del pacchetto 330994 Data di rilascio: 23 aprile 2003

Per ulteriori informazioni sul download di file di supporto Microsoft, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito: Il file è stato controllato e non contiene virus. Microsoft ha utilizzato il software antivirus più recente disponibile al momento della data di pubblicazione del file. Il file è archiviato su server con un livello di protezione avanzata che impedisce modifiche non autorizzate.

Informazioni sul service pack

Per risolvere questo problema è necessario ottenere il Service Pack più recente per Microsoft Windows 2000. Per ulteriori informazioni, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:

Informazioni sull'hotfix

Informazioni sull'installazione

Per l'installazione di questa patch, è necessario accedere al sistema come amministratore. Per verificare che la patch sia installata nel computer in uso, controllare gli attributi dei file riportati nella sezione "Informazioni sui file" di questo articolo.

Prerequisiti

Outlook Express 6.0 Service Pack 1

Per installare la versione di questa patch per Outlook Express 6.0 Service Pack 1, è necessario che sia in esecuzione Microsoft Outlook Express 6.0 Service Pack 1 in un computer basato su Microsoft Windows XP Service Pack 1 (versioni a 32 o 64 bit).

Outlook Express 6.0

Per installare la versione per Outlook Express 6.0 di questa patch, è necessario che sia in esecuzione Outlook Express 6.0 in un computer basato su una versione a 32 bit di Windows XP.

Outlook Express 5.5 Service Pack 2

Per installare la versione di questa patch per Outlook Express 5.5 Service Pack 2, è necessario che sia in esecuzione Microsoft Outlook Express 5.5 Service Pack 2 in un computer basato su Microsoft Windows 2000 Service Pack 3.
Per ulteriori informazioni, fare clic sui numeri degli articoli della Microsoft Knowledge Base riportati di seguito:

Requisiti per il riavvio

Quando si installano le patch descritte in questo articolo, non è necessario riavviare il computer se sono presenti le seguenti condizioni:

• Outlook Express viene chiuso prima di installare la patch.
• La finestra di dialogo Informazioni su Internet Explorer non è aperta quando si installa la patch.

Stato degli aggiornamenti precedenti

Questa patch ha la precedenza rispetto alla correzione fornita nel Microsoft Security Bulletin MS02-058 per Outlook Express e all'aggiornamento cumulativo per Outlook Express 6.0 SP1.

Parametri del programma di installazione

I pacchetti di aggiornamento per questa patch supportano le seguenti opzioni:

• /q - Consente di specificare la modalità non interattiva, in cui non è visualizzata alcuna richiesta all'utente durante l'estrazione dei file.
• /q:u - Consente di specificare la modalità non interattiva per l'utente, in cui vengono visualizzate alcune finestre di dialogo.
• /q:a - Consente di specificare la modalità non interattiva amministratore, in cui all'utente non viene visualizzata alcuna finestra di dialogo.
• /t: percorso - Consente di specificare la cartella di destinazione per i file estratti.
• /c - Consente di estrarre i file senza installarli.
• /c: percorso - Consente di specificare il percorso e il nome del file INF o EXE di installazione.
• /r:n - Consente di non riavviare mai il computer dopo l'installazione.
• /r:i - Consente di riavviare il computer se richiesto. Riavvia il computer automaticamente se è necessario per completare l'installazione.
• /r:a - Consente di imporre il riavvio del computer dopo l'installazione.
• /r:s - Consente di imporre il riavvio automatico del computer, senza previa richiesta, al termine dell'installazione.
• /n:v - Consente di non effettuare il controllo della versione. Il programma viene installato sovrascrivendo qualsiasi versione precedente.

Per installare, ad esempio, la patch senza alcun intervento da parte dell'utente, evitando il riavvio del computer una volta terminata l'installazione, utilizzare la seguente riga di comando:

Informazioni sui file

La versione in lingua inglese di questo aggiornamento presenta gli attributi di file elencati nella tabella seguente (o attributi successivi). Date e ore elencate di seguito sono espresse in ora UTC (Coordinated Universal Time). Quando si visualizzano le informazioni sui file, l'ora viene convertita in ora locale. Per calcolare la differenza tra l'ora UTC e quella locale, utilizzare la scheda Fuso orario dello strumento Data e ora del Pannello di controllo.

Internet Explorer 6 SP1 (32 bit)

Internet Explorer 6 SP1 (64 bit)

Internet Explorer 6

Internet Explorer 5.5 SP2

Nota Questa patch non contiene dipendenze tra i file.

Informazioni sulla rimozione

Per disinstallare la patch, utilizzare lo strumento Installazione applicazioni nel Pannello di controllo. Fare clic su Outlook Express Update Q330994, quindi scegliere Cambia/Rimuovi oppure Aggiungi/Rimuovi.