Microsoft Security Bulletin MS16-035 - Importante

Aggiornamento della sicurezza per .NET Framework per risolvere il bypass delle funzionalità di sicurezza (3141780)

Pubblicato: 8 marzo 2016 | Aggiornamento: 8 novembre 2016

Versione: 2.6

Schema riepilogativo

Questo aggiornamento della sicurezza risolve una vulnerabilità in Microsoft .NET Framework. Il bypass della funzionalità di sicurezza esiste in un componente .NET Framework che non convalida correttamente determinati elementi di un documento XML firmato.

Questo aggiornamento della sicurezza è valutato importante per Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4.5.2, Microsoft .NET Framework 4.6 e Microsoft .NET Framework 4.6.1 nelle versioni interessate di Microsoft Windows. Per altre informazioni, vedere la sezione Software interessato.

L'aggiornamento risolve la vulnerabilità correggendo il modo in cui .NET Framework convalida i documenti XML. Per altre informazioni sulla vulnerabilità, vedere la sezione Informazioni sulla vulnerabilità.

Per altre informazioni su questo aggiornamento, vedere l'articolo della Microsoft Knowledge Base 3141780.

Classificazioni di gravità del software e della vulnerabilità interessate

Sono interessate le versioni o le edizioni software seguenti. Le versioni o le edizioni non elencate superano il ciclo di vita del supporto o non sono interessate. Per determinare il ciclo di vita del supporto per la versione o l'edizione del software, vedere supporto tecnico Microsoft Ciclo di vita.

Le classificazioni di gravità indicate per ogni software interessato presuppongono il potenziale impatto massimo della vulnerabilità. Per informazioni sulla probabilità, entro 30 giorni dal rilascio di questo bollettino sulla sicurezza, della sfruttabilità della vulnerabilità in relazione alla classificazione di gravità e all'impatto sulla sicurezza, vedere l'indice di exploit nel riepilogo del bollettino di marzo.

^[1]Per informazioni sulle modifiche apportate al supporto per .NET Framework 4.x, vedere Internet Explorer e .NET Framework 4.x Support Announcements (Annunci di supporto di .NET Framework 4.x).

^[2]Gli aggiornamenti di Windows RT 8.1 sono disponibili solo tramite Windows Update.

^[3]Gli aggiornamenti di Windows 10 sono cumulativi. Oltre a contenere aggiornamenti non relativi alla sicurezza, contengono anche tutte le correzioni di sicurezza per tutte le vulnerabilità interessate da Windows 10 con la versione di sicurezza mensile. Gli aggiornamenti sono disponibili tramite il Catalogo di Microsoft Update.

Nota: Windows Server Technical Preview 4 è interessato. I clienti che eseguono questo sistema operativo sono invitati a applicare l'aggiornamento, disponibile tramite Windows Update.

Domande frequenti su Update

Perché questo bollettino è stato nuovamente rilasciato il 10 maggio 2016?
Per risolvere determinati problemi di stampa, i clienti potrebbero aver riscontrato dopo aver installato gli aggiornamenti della sicurezza per Microsoft .NET Framework 4.5.2 o Microsoft .NET Framework 4.6/4.6.1, gli aggiornamenti per queste versioni di Microsoft .NET Framework sono stati ridistribuiti come segue:

• Gli aggiornamenti per Microsoft .NET Framework 4.5.2 sono stati ridistribuiti solo ai clienti Con distribuzione limitata (LDR).
• Gli aggiornamenti per Microsoft .NET Framework 4.6/4.6.1 sono stati ridistribuiti a tutti i clienti.

Si noti che queste versioni di nuovo sono disponibili tramite Windows Update e il Catalogo di Microsoft Update.

Ricerca per categorie determinare quale versione di Microsoft .NET Framework è installata?
È possibile installare ed eseguire più versioni di .NET Framework in un sistema ed è possibile installare le versioni in qualsiasi ordine. Esistono diversi modi per determinare quali versioni di .NET Framework sono attualmente installate. Per altre informazioni, vedere l'articolo della Microsoft Knowledge Base 318785.

Sono disponibili più pacchetti di aggiornamento per alcuni dei software interessati. È necessario installare tutti gli aggiornamenti elencati nella tabella Software interessato per il software?
Sì. I clienti devono applicare tutti gli aggiornamenti offerti per il software installato nei propri sistemi.

È necessario installare questi aggiornamenti della sicurezza in una sequenza specifica?
No. È possibile applicare più aggiornamenti per un determinato sistema in qualsiasi sequenza.

Informazioni sulla vulnerabilità

Bypass della funzionalità di sicurezza della convalida XML .NET - CVE-2016-0132

Esiste una vulnerabilità di bypass della funzionalità di sicurezza in un componente .NET Framework che non convalida correttamente determinati elementi di un documento XML firmato. Un utente malintenzionato che ha sfruttato correttamente la vulnerabilità potrebbe modificare il contenuto di un file XML senza invalidare la firma associata al file. Se un'applicazione .NET si basa sulla firma per non essere dannosa, il comportamento dell'applicazione potrebbe diventare imprevedibile. Nelle applicazioni personalizzate, l'impatto sulla sicurezza dipende dallo scenario di utilizzo specifico.

In uno scenario di attacco alle applicazioni .NET, un utente malintenzionato potrebbe modificare il contenuto di un file XML senza invalidare la firma associata al file. L'aggiornamento risolve la vulnerabilità correggendo il modo in cui .NET Framework convalida i documenti XML.

La tabella seguente contiene collegamenti alla voce standard per ogni vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:

Fattori di mitigazione

Microsoft non ha identificato alcun fattore di mitigazione per questa vulnerabilità.

Soluzioni alternative

Microsoft non ha identificato soluzioni alternative per questa vulnerabilità.

Distribuzione degli aggiornamenti della sicurezza

Per informazioni sulla distribuzione degli aggiornamenti della sicurezza, vedere l'articolo della Microsoft Knowledge Base a cui si fa riferimento nel riepilogo esecutivo.

Riconoscimenti

Microsoft riconosce gli sforzi di coloro che si trovano nella community di sicurezza che ci aiutano a proteggere i clienti attraverso la divulgazione coordinata delle vulnerabilità. Per altre informazioni, vedere Riconoscimenti .

Dichiarazione di non responsabilità

Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.

Revisioni

• V1.0 (8 marzo 2016): Bollettino pubblicato.
• V2.0 (10 maggio 2016): il bollettino aggiornato per annunciare gli aggiornamenti della sicurezza per Microsoft .NET Framework 4.5.2 e Microsoft .NET Framework 4.6/4.6.1 sono stati rilasciati nuovamente per risolvere i problemi relativi a determinati scenari di stampa. Le versioni sono disponibili tramite Windows Update e il Catalogo di Microsoft Update. Si noti che questa versione di nuovo si applica solo ai clienti LDR (Limited Distribution Release). I clienti GDR (Versione di distribuzione generale) non sono interessati. Per altre informazioni sugli aggiornamenti di sicurezza specifici rilasciati nuovamente, vedere la sezione Relativa agli aggiornamenti di questo bollettino (MS16-035).
• V2.1 (18 maggio, 2016: Bollettino rivisto per chiarire il pubblico della distribuzione per Microsoft .NET Framework 4.5.2 e Microsoft .NET Framework 4.6/4.6.1 aggiornamenti della sicurezza rilasciati nuovamente il 10 maggio 2016, come indicato di seguito: Gli aggiornamenti della sicurezza per Microsoft .NET Framework 4.5.2 sono stati ridistribuiti solo ai clienti con rilascio con distribuzione limitata (LDR). Gli aggiornamenti della sicurezza per Microsoft .NET Framework 4.6/4.6.1 sono stati ridistribuiti a tutti i clienti.
• V2.2 (13 luglio 2016): Bollettino rivisto per informare i clienti che l'aggiornamento 3135996 è stato aggiornato. Si tratta solo di una notifica informativa. I clienti che hanno già installato correttamente l'aggiornamento non devono eseguire altre azioni.
• V2.3 (11 agosto 2016): Bollettino rivisto per annunciare una modifica di rilevamento per correggere un problema di offerta per 3135996. Si tratta solo di una modifica di rilevamento. Non sono state apportate modifiche ai file di aggiornamento. I clienti che hanno già installato correttamente l'aggiornamento non devono eseguire alcuna azione.
• V2.4 (11 agosto 2016): chiarimento sulla revoca della nota v2.3 - È stata resa disponibile una versione più recente dell'aggiornamento 3135996 per tutti i clienti, non solo per i clienti Con distribuzione limitata (LDR). Alcuni clienti potrebbero non aver offerto questa versione più recente tra il 13/7/2016 e l'8/11/2016. L'ultima versione dell'aggiornamento 3135996 rilasciata il 11/08/2016 porterà i clienti a uno stato aggiornato.
• V2.5 (11 ottobre 2016): Bollettino modificato per annunciare gli aggiornamenti della sicurezza 3135994 e 3135995 per Microsoft .NET Framework 4.5.2 in Windows Server 2012, Windows 8.1 e Windows Server 2012 R2 sono stati rilasciati esclusivamente al canale WSUS. Questa versione non si applica ai clienti di Windows Update o microsoft Update Catalog. Questa nuova versione risolve un problema di offerta che impediva a determinati clienti GDR all'interno degli ambienti WSUS di ricevere questi aggiornamenti se avevano abilitato la funzionalità "rifiuta automaticamente gli aggiornamenti quando una nuova revisione li causa la scadenza". Non sono state apportate modifiche al payload del file. Se i clienti hanno già distribuito gli aggiornamenti 3135994 e 3135995, non è necessario eseguire alcuna azione.
• V2.6 (8 novembre 2016): Bollettino modificato per annunciare che è stata apportata una modifica al rilevamento per tenere conto dei clienti con aggiornamento cumulativo degli hotfix di .NET Framework 4.6.1 che non venivano offerti correttamente agli aggiornamenti della sicurezza applicabili a .NET Framework 4.6.1.

Pagina generata 2016-11-28 12:58-08:00.