Accedi

Select the product you need help with

MS02-069: Un difetto di Microsoft VM pu� compromettere Windows

Identificativo articolo: 810030

Microsoft VM � una macchina virtuale per l'ambiente Win32, inclusa in quasi tutte le versioni di Windows e nella maggior parte delle versioni di Microsoft Internet Explorer.

Oggi � disponibile una nuova versione di Microsoft VM che comprende, oltre a tutte le precedenti correzioni per Microsoft VM, quelle relative a otto nuovi problemi di protezione segnalati di recente, in cui viene sfruttato sostanzialmente lo stesso vettore di attacco. Ovvero un utente malintenzionato pu� creare un sito Web che una volta aperto sfrutta il particolare problema di protezione ospitando il vettore di attacco su un sito Web oppure inviandolo a un utente sotto forma di messaggio di posta elettronica in formato HTML.

Di seguito sono illustrati i nuovi problemi di protezione segnalati di recente:

Un problema di protezione mediante cui un'applet Java non attendibile � in grado di accedere a oggetti COM (Component Object Model)

Per una caratteristica legata alla progettazione del prodotto, gli oggetti COM espongono le funzionalit� e in quanto tali dovrebbero essere disponibili solo per programmi Java attendibili. Alcuni oggetti COM forniscono funzionalit� mediante cui un utente malintenzionato pu� essere in grado di assumere il controllo del sistema.
Due problemi di protezione che consentono di nascondere la posizione effettiva a cui fa riferimento l'attributo Codebase di un'applet

Sebbene ciascuno di questi problemi abbia cause diverse, entrambi producono gli stessi effetti. Per una caratteristica legata alla progettazione del prodotto, un'applet Java che risiede nell'archivio utenti o in una condivisione di rete dispone di accesso in lettura alla cartella in cui � contenuta e a tutte le relative sottocartelle. Questi problemi di protezione forniscono un metodo mediante cui un'applet presente in un sito Web pu� essere indotta a falsare la propria posizione nell'attributo Codebase, facendo in modo che l'applet sembri risiedere nel sistema locale dell'utente o in una condivisione di rete anzich� nella posizione effettiva.
Un problema di protezione che consente a un utente malintenzionato di creare un URL che quando analizzato carica un'applet Java da un sito Web facendola apparire come appartenente a un altro sito Web

Questo problema di protezione consente a un utente malintenzionato di eseguire una propria applet nel dominio di un altro sito. Qualsiasi informazioni fornita dall'utente a tale applet verr� inoltrata all'utente malintenzionato.
Un problema di protezione che consente a un'applet di modificare contenuti di database

Questo problema di protezione si verifica perch� Microsoft VM non impedisce alle applet di chiamare le API JDBC, un insieme di API che forniscono metodi di accesso a database. Per una caratteristica legata alla progettazione del prodotto, queste API, soggette solo alle autorizzazioni dell'utente, forniscono funzionalit� mediante cui aggiungere, modificare, eliminare e cambiare contenuto di database.
Un problema di protezione mediante cui un utente malintenzionato pu� impedire temporaneamente il caricamento e l'esecuzione di determinati oggetti Java

Standard Security Manager, un meccanismo di protezione disponibile nelle versioni meno recenti di Microsoft VM, consente a un utente di imporre limitazioni alle applet Java, comprese quelle che ne impediscono l'esecuzione. Microsoft VM non controlla tuttavia in maniera adeguata l'accesso a Standard Security Manager, cosicch� l'applet di un utente malintenzionato � in grado di aggiungere altri oggetti Java all'elenco degli oggetti non consentiti.
Un problema di protezione mediante cui un utente malintenzionato pu� venire a conoscenza del nome di un utente nel computer locale dell'interessato

Questo problema di protezione si verifica perch� la propriet� di sistema user.dir � disponibile anche alle applet non affidabili. Sebbene il fatto di conoscere il nome di un nome non rappresenti di per se stesso un rischio per la protezione, un utente malintenzionato potrebbe trovare utili tali informazioni per motivi di riconoscimento.
Un problema di protezione che si verifica perch� un'applet Java pu� eseguire un'inizializzazione incompleta di un altro oggetto Java

Questo fatto causa la mancata riuscita del programma che contiene l'oggetto, ovvero Internet Explorer.

Torna all'inizio | Invia suggerimenti

Risoluzione

Per risolvere il problema, installare il pacchetto "810030: Microsoft VM Security Update". Con questa correzione Microsoft VM viene aggiornata alla versione 5.00.3809. Tutte le versioni di Microsoft VM precedenti alla 5.00.3809 sono soggette ai problemi di protezione descritti nella sezione "Sintomi" di questo articolo.

Individuazione dell'aggiornamento

Per individuare l'aggiornamento, visitare la sezione relativa agli aggiornamenti critici del seguente sito Web Microsoft Windows Update:

http://v4.update.microsoft.com/it/default.asp

(http://v4.update.microsoft.com/it/default.asp)

Gli amministratori possono scaricare questo aggiornamento dal Catalogo di Windows Update

(http://v4.update.microsoft.com/catalog/it/default.asp)

per distribuirlo su pi� computer in cui sia gi� installato Microsoft VM. Se si desidera ottenere l'aggiornamento e installarlo in un secondo momento su uno o pi� computer, cercare l'ID dell'articolo utilizzando la funzionalit� di ricerca avanzata nel catalogo di Windows Update. Per ulteriori informazioni su come scaricare gli aggiornamenti dal catalogo di Windows Update, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:

323166

(http://support.microsoft.com/kb/323166/IT/ )

HOW TO: Scaricare aggiornamenti e driver per Windows dal catalogo di Windows Update

Nota La versione di questo aggiornamento di Microsoft VM per Windows 2000 richiede Windows 2000 SP2 o versione successiva e non pu� essere installata in altri sistemi operativi. Per scaricare l'aggiornamento per Windows 2000, scegliere Windows 2000 SP2 o Windows 2000 SP3 come sistema operativo.

Per scaricare l'aggiornamento per Windows XP, Windows NT 4.0, Windows Millennium Edition (ME), Windows 98 Seconda Edizione o Windows 98, scegliere Windows XP, Windows Millennium Edition o Windows 98 come sistema operativo.

Nota I computer basati su Windows NT 4.0 non dispongono dell'accesso al catalogo di Windows Update. Se � necessario scaricare un aggiornamento per Windows NT 4.0 da installare in un secondo tempo o su pi� computer, accedere al sito del catalogo di Windows Update utilizzando un computer in cui sia installato Windows 98, Windows Millennium Edition, Windows 2000, Windows XP o Windows Server 2003, quindi scegliere Windows 98, Windows Millennium Edition o Windows XP come sistema operativo in uso. Questo aggiornamento per la protezione pu� essere installato anche su computer basati su Windows NT 4.0. Gli amministratori che non hanno accesso a un computer in cui � installato Windows XP, Windows 98, Windows Millennium Edition, Windows 2000 o Windows Server 2003 per utilizzare il catalogo prodotti di Windows Update possono richiedere la patch al Servizio Supporto Tecnico Clienti Microsoft. Per un elenco completo di numeri di telefono del Servizio Supporto Tecnico Clienti Microsoft e per informazioni sui costi dell'assistenza, visitare il sito Web Microsoft all'indirizzo:

http://support.microsoft.com/default.as px?scid=fh;EN-US;CNTACTMS

(http://support.microsoft.com/default.aspx?scid=fh;IT;CNTACT)

Informazioni sull'installazione

Questo aggiornamento pu� essere installato solo nei computer nei quali sia gi� presente una precedente versione di Microsoft VM. Per ulteriori informazioni su come installare Microsoft VM senza riavviare il computer, fare clic sul numero dell'articolo della Microsoft Knowledge Base riportato di seguito:

304930

(http://support.microsoft.com/kb/304930/IT/ )

Come installare Microsoft Virtual Machine automaticamente senza riavviare il computer

Informazioni sui file

La versione in lingua inglese di questa correzione presenta gli attributi di file elencati nella tabella seguente (o attributi successivi). Date e ore elencate di seguito sono espresse in UTC. Quando si visualizzano le informazioni sul file, l'ora viene convertita in ora locale. Per calcolare la differenza tra l'ora UTC e quella locale, utilizzare la scheda Fuso orario dello strumento Data e ora del Pannello di controllo.

   
	Data        Ora    Versione      Dimensione  Nome file 
	--------------------------------------------------------
	20/03/2002  11.52                     2.678  Classes.cer 
	18/11/2002  14.07                 5.751.849  Classes.zip 
	18/11/2002  14.11  5.0.3809.0       404.752  Javart.dll 
	18/11/2002  14.09  5.0.3809.0       172.304  Jview.exe 
	18/11/2002  14.11  5.0.3809.0       947.984  Msjava.dll 
	20/03/2002  11.52                     2.678  Msjdbc.cer 
	18/11/2002  14.07                   137.482  Msjdbc.zip 
	29/03/2001  00.58                    10.957  Osp.zip

Nota Dopo l'installazione della VM aggiornata, tutti i file ZIP avranno nomi diversi. Si tratta di un funzionamento tipico e pu� essere ignorato. Inoltre, solo alcuni file contenuti nel pacchetto ZIP sono stati modificati per questa versione, tuttavia non possono essere inclusi singolarmente in un pacchetto.

Torna all'inizio | Invia suggerimenti

Status

Microsoft ha confermato che questo problema potrebbe comportare rischi di protezione in Microsoft VM.

Torna all'inizio | Invia suggerimenti

Informazioni

Per determinare il numero di versione di Microsoft VM su un computer in cui � in esecuzione Windows 98, Windows 98 Seconda Edizione o Windows Millennium Edition, attenersi alla seguente procedura:

Fare clic sul pulsante Start, quindi scegliere Esegui.
Nella casella Apri digitare command, quindi scegliere OK.
Al prompt dei comandi digitare jview, quindi premere INVIO. Prendere nota del numero di versione visualizzato sulla prima riga "Versione n.nn.nnnn", dove le ultime quattro cifre nnnn indicano il numero della build. Ad esempio, 5.00.3802 corrisponde a Microsoft VM versione 3802.

Per determinare il numero di versione di Microsoft VM su un computer in cui � in esecuzione Windows NT 4.0, Windows 2000 o Windows XP, attenersi alla seguente procedura:

Fare clic sul pulsante Start, quindi scegliere Esegui.
Nella casella Apri digitare cmd, quindi scegliere OK.
Al prompt dei comandi digitare il comando seguente e premere INVIO:
jview
Prendere nota del numero di versione visualizzato sulla prima riga "Versione n.nn.nnnn", dove le ultime quattro cifre nnnn indicano il numero della build. Ad esempio, 5.00.3802 corrisponde a Microsoft VM versione 3802.

Per ulteriori informazioni su questa vulnerabilit�, vedere il seguente Bollettino Microsoft sulla sicurezza (informazioni in lingua inglese):

http://www.microsoft.com/technet/security/bulletin/MS02-069.asp

(http://www.microsoft.com/technet/security/bulletin/MS02-069.asp)

Torna all'inizio | Invia suggerimenti

Propriet�

Identificativo articolo: 810030 - Ultima modifica: gioved� 3 febbraio 2011 - Revisione: 6.7

kbdownload kbbug kbfix kbsecbulletin kbsecurity kbsecvulnerability kbqfe KB810030

LE INFORMAZIONI CONTENUTE NELLA MICROSOFT KNOWLEDGE BASE SONO FORNITE SENZA GARANZIA DI ALCUN TIPO, IMPLICITA OD ESPLICITA, COMPRESA QUELLA RIGUARDO ALLA COMMERCIALIZZAZIONE E/O COMPATIBILITA' IN IMPIEGHI PARTICOLARI. L'UTENTE SI ASSUME L'INTERA RESPONSABILITA' PER L'UTILIZZO DI QUESTE INFORMAZIONI. IN NESSUN CASO MICROSOFT CORPORATION E I SUOI FORNITORI SI RENDONO RESPONSABILI PER DANNI DIRETTI, INDIRETTI O ACCIDENTALI CHE POSSANO PROVOCARE PERDITA DI DENARO O DI DATI, ANCHE SE MICROSOFT O I SUOI FORNITORI FOSSERO STATI AVVISATI. IL DOCUMENTO PUO' ESSERE COPIATO E DISTRIBUITO ALLE SEGUENTI CONDIZIONI: 1) IL TESTO DEVE ESSERE COPIATO INTEGRALMENTE E TUTTE LE PAGINE DEVONO ESSERE INCLUSE. 2) I PROGRAMMI SE PRESENTI, DEVONO ESSERE COPIATI SENZA MODIFICHE, 3) IL DOCUMENTO DEVE ESSERE DISTRIBUITO INTERAMENTE IN OGNI SUA PARTE. 4) IL DOCUMENTO NON PUO' ESSERE DISTRIBUITO A SCOPO DI LUCRO.

Torna all'inizio | Invia suggerimenti