Solo aggiornamenti per la protezione per.NET Framework 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1 e 4.7.2 per Windows 7 SP1 e Server 2008 R2 SP1 (KB 4487121)

Riepilogo

Questo aggiornamento risolve diverse vulnerabilità in Microsoft.NET Framework che potrebbe consentire quanto segue:

• Una vulnerabilità di esecuzione di codice in modalità remota nel software di.NET Framework, se il software non controlla il codice sorgente di un file. Un utente malintenzionato che riesca a sfruttare la vulnerabilità potrebbe eseguire codice arbitrario nel contesto dell'utente corrente. Se l'utente corrente è connesso con privilegi di amministrazione, un utente malintenzionato potrebbe assumere il controllo del sistema interessato. Un utente malintenzionato potrebbe quindi installare programmi. Consente di visualizzare, modificare o eliminare dati; oppure creare nuovi account con diritti utente completi. Gli utenti con account configurati in modo da disporre solo di diritti sul sistema potrebbero essere meno interessati rispetto agli utenti che dispongono di diritti amministrativi.

  Sfruttamento della vulnerabilità richiede all'utente di aprire un file appositamente predisposto con una versione interessata di.NET Framework. In uno scenario di attacco tramite posta elettronica, un utente malintenzionato potrebbe sfruttare la vulnerabilità da inviare all'utente il file appositamente predisposto e inducendo l'utente ad aprire il file.

  Questo aggiornamento per la protezione risolve la vulnerabilità correggendo come.NET Framework viene verificato il markup di origine di un file. Per ulteriori informazioni su questa vulnerabilità, vedere Microsoft le vulnerabilità comuni ed esposizioni CVE-2019-0613.

• Una vulnerabilità in alcune API di.NET Framework che analizzano gli URL. Un utente malintenzionato che sfrutti questa vulnerabilità è possibile utilizzarlo per ignorare la logica di protezione che ha lo scopo di verificare che un URL fornito dall'utente appartiene a un nome host specifico o un sottodominio del nome host. Questa può essere utilizzata per comunicazioni privilegiato effettuare un servizio non attendibile come se fosse un servizio attendibile.

  Per sfruttare la vulnerabilità, un utente malintenzionato deve fornire una stringa URL a un'applicazione che tenta di verificare che l'URL appartiene a un nome host specifico o a un sottodominio del nome host. L'applicazione deve quindi eseguire una richiesta HTTP all'URL fornito attacco direttamente o tramite l'invio di una versione elaborata dell'URL fornito attacco su un browser web. Per ulteriori informazioni su questa vulnerabilità, vedere Microsoft le vulnerabilità comuni ed esposizioni CVE-2019-0657.

Importante

• Tutti gli aggiornamenti per.NET Framework 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1 e 4.7.2 richiedono che sia installato l'aggiornamento di d3dcompiler_47.dll. Si consiglia di installare l'aggiornamento incluso d3dcompiler_47.dll prima di applicare questo aggiornamento. Per ulteriori informazioni sui d3dcompiler_47.dll, vedere 4019990 KB.

• Se si installa un Language Pack dopo aver installato questo aggiornamento, è necessario reinstallare questo aggiornamento. Pertanto, si consiglia di installare qualsiasi Language Pack di cui si ha bisogno prima di installare questo aggiornamento. Per ulteriori informazioni, vedere aggiunta di language pack per Windows.

Ulteriori informazioni su questo aggiornamento

Gli articoli seguenti contengono ulteriori informazioni su questo aggiornamento riferito alle singole versioni del prodotto.

• 4483483 descrizione di protezione solo aggiornamento per.NET Framework 3.5.1 per Windows 7 SP1 e Server 2008 R2 SP1 (KB 4483483)

• 4483474 descrizione di protezione solo aggiornamento per.NET Framework 4.5.2 per Server 2008 R2 SP1, Windows 7 SP1 e Server 2008 SP2 (KB 4483474)

• 4483470 descrizione della protezione solo aggiornamento per.NET Framework versione 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1 e 4.7.2 per Windows 7 SP1 e Server 2008 R2 SP1 e.NET Framework 4.6 per Server 2008 SP2 (KB 4483470)

Informazioni sulla protezione e sicurezza

• Come proteggersi in linea: supportano la protezione di Windows

• Apprendere come si guardia contro minacce cyber: Protezione di Microsoft