Avviso di sicurezza Microsoft: Possibili rischi di spoofing a causa di certificati digitali fraudolenti

Il supporto per Windows XP è terminato

Il supporto Microsoft per Windows XP è terminato l'8 aprile 2014. Questa modifica ha interessato gli aggiornamenti software e le opzioni di sicurezza. Ulteriori informazioni su come continuare a essere protetti.

Il supporto per Windows Server 2003 è terminato il 14 luglio 2015.

Microsoft ha sospeso il supporto per Windows Server 2003 in data 14 luglio 2015. Questa modifica ha interessato gli aggiornamenti software e le opzioni di sicurezza. Ulteriori informazioni su come continuare a essere protetti.

INTRODUZIONE
È stato rilasciato un Advisory Microsoft sulla sicurezza relativo a questo problema per i professionisti IT. Questo aggiornamento viene rilasciato per tutte le versioni supportate di Microsoft Windows. L'aggiornamento revoca l'attendibilità dei seguenti certificati principali DigiNotar, inserendoli nell'archivio certificati non attendibili di Microsoft:
  • DigiNotar CA principale
  • DigiNotar CA G2 principale
  • DigiNotar PKIoverheid CA Overheid
  • DigiNotar PKIoverheid CA Organisatie - G2
  • DigiNotar PKIoverheid CA Overheid en Bedrijven
  • DigiNotar Root CA rilasciata da Entrust (2 certificati)
  • DigiNotar servizi 1024 CA rilasciata da Entrust
  • DigiNotar Cyber CA rilasciata da GTE CyberTrust (3 certificati)
In questo documento sono contenute ulteriori informazioni correlate alla protezione. Per visualizzare il testo del documento, visitare il seguente sito Web Microsoft:
Informazioni

Informazioni sul download

I seguenti file sono disponibili per il download dall'Area download Microsoft:

DownloadDownload del pacchetto di aggiornamento per Windows 7 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows 7 per sistemi basati su x64 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2008 per sistemi basati su Itanium (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2008 R2 x64 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Vista (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Vista per sistemi basati su x64 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2008 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2008 per sistemi basati su Itanium (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2008 x64 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows XP (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows XP x64 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2003 (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2003 per sistemi basati su Itanium (KB2616676).

DownloadDownload del pacchetto di aggiornamento per Windows Server 2003 x64 (KB2616676).

Data di rilascio: 19 settembre 2011

Per ulteriori informazioni sul download dei file di supporto Microsoft, selezionare il seguente numero di articolo per visualizzare l'articolo della Microsoft Knowledge Base:
119591 Come ottenere file di supporto Microsoft dai servizi online
Il file è stato controllato e non contiene virus. Microsoft ha utilizzato il software antivirus più recente disponibile al momento della data di pubblicazione del file. Il file viene salvato su server con un livello di sicurezza avanzata che impedisce modifiche del file non autorizzate. 

Problemi noti

  • Microsoft ha terminato l'analisi di un problema con l'aggiornamento 2616676 per tutti i sistemi basati su Windows XP e Windows Server 2003.

    Prima del 19 settembre 2011, le versioni dell'aggiornamento 2616676 per Windows XP e Windows Server 2003 contenevano solamente gli ultimi sei certificati con firma incrociata da GTE e Entrust. Tali versioni dell'aggiornamento non contenevano i certificati digitali inclusi negli aggiornamenti 2607712 o 2524375. Inoltre, l'aggiornamento 2616676 ha seguito in maniera non corretta l'aggiornamento 2607712. Pertanto, prima del 19 settembre 2011, se è stato installato l'aggiornamento 2616676 senza aver prima installato l'aggiornamento 2607712 o 2524375, il sistema non è stato protetto dall'utilizzo di certificati digitali fraudolenti come descritto nell'avviso sulla sicurezza 2607712.

    Il 19 settembre 2011 è stato rilasciato l'aggiornamento 2616676 per la risoluzione del problema. Se è installato Windows XP o Windows Server 2003 e non sono stati applicati gli aggiornamenti 2524375, 2607712 e 2616676, si consiglia di installare l'aggiornamento cumulativo 2616676.

    Nella maggior parte dei sistemi è attivato l'aggiornamento automatico. Se l'aggiornamento automatico è abilitato, non è necessario eseguire alcuna azione poiché l'aggiornamento 2616676 verrà installato automaticamente in caso di certificati mancanti dall'archivio certificati non attendibili di Microsoft. L'aggiornamento 2616676 non verrà più offerto in caso di sistemi in cui siano stati già installati gli aggiornamenti 2524375, 2607712 e 26116676.

    Tutte le versioni di Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 non sono interessate dal problema.
  • È necessario riavviare il computer per tutte le edizioni di Windows XP e Windows Server 2003.
  • Non è necessario riavviare il computer per tutte le edizioni di Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2. Tramite il programma di installazione vengono arrestati i servizi richiesti, viene applicato l'aggiornamento, quindi vengono riavviati i servizi. Tuttavia, se per qualche motivo non è possibile interrompere i servizi richiesti o se i file richiesti sono in uso, questo aggiornamento richiederà il riavvio del sistema. Quando il problema si verifica, verrà visualizzato un messaggio che richiede di riavviare il sistema.
  • Il governo olandese dispone delle informazioni aggiuntive disponibili su questo incidente e sull'utilizzo di tutti i certificati DigiNotar. Per ulteriori informazioni, visitare il seguente sito Web di terze parti: Microsoft fornisce informazioni per contattare altri produttori allo scopo di facilitare l'individuazione del supporto tecnico. Queste informazioni sono soggette a modifica senza preavviso. Microsoft non si assume alcuna responsabilità sull'accuratezza delle informazioni per contattare altri produttori.
  • Alcuni utenti di Windows Server 2003 potrebbero notare la mancanza di due certificati SHA2. Le impronte dei certificati sono riportate di seguito:
    • 43D9BCB568E039D073A74A71D8511F7476089CC3
    • 5DE83EE82AC5090AEA9D6AC4E7A6E213F946E179
    Tali certificati mancano poiché, per impostazione predefinita, Windows Server 2003 non supporta i certificati SHA2. Tali certificati vengono installati esclusivamente nei sistemi in cui è stato installato l'aggiornamento 928297.
update security_patch security_update security bug flaw vulnerability malicious attacker exploit registry unauthenticated buffer overrun overflow specially-formed scope specially-crafted denial of service DoS TSE
Properti

ID Artikel: 2616676 - Tinjauan Terakhir: 09/22/2011 13:47:00 - Revisi: 2.0

Windows 7 Service Pack 1, Windows 7 Enterprise, Windows 7 Professional, Windows 7 Ultimate, Windows 7 Home Premium, Windows 7 Home Basic, Windows Server 2008 R2 Service Pack 1, Windows Server 2008 R2 Standard, Windows Server 2008 R2 Enterprise, Windows Server 2008 R2 Datacenter, Windows Server 2008 Service Pack 2, Windows Server 2008 for Itanium-Based Systems, Windows Server 2008 Datacenter, Windows Server 2008 Enterprise, Windows Server 2008 Standard, Windows Web Server 2008, Windows Vista Service Pack 2, Windows Vista Service Pack 1, Microsoft Windows Server 2003 Service Pack 2, Microsoft Windows XP Service Pack 3

  • kbexpertiseinter kbinfo kbsecadvisory kbsecurity kbsecvulnerability KB2616676
Tanggapan