Microsoft Security Bulletin MS15-059 - Importante

Le vulnerabilità in Microsoft Office potrebbero consentire l'esecuzione di codice remoto (3064949)

Pubblicato: 9 giugno 2015

Versione: 1.0

Schema riepilogativo

Questo aggiornamento della sicurezza risolve le vulnerabilità in Microsoft Office. La più grave delle vulnerabilità potrebbe consentire l'esecuzione remota del codice se un utente apre un file di Microsoft Office appositamente creato. Un utente malintenzionato che ha sfruttato correttamente le vulnerabilità potrebbe eseguire codice arbitrario nel contesto dell'utente corrente. I clienti i cui account sono configurati per avere un minor numero di diritti utente nel sistema potrebbero essere meno interessati rispetto a quelli che operano con diritti utente amministrativi.

Questo aggiornamento della sicurezza è valutato Importante per tutte le edizioni supportate del software seguente:

• Microsoft Office 2007
• Microsoft Office 2010
• Microsoft Office 2013
• Microsoft Office 2013 RT

Per altre informazioni, vedere la sezione Software interessato.

L'aggiornamento della sicurezza risolve le vulnerabilità correggendo il modo in cui Microsoft Office gestisce i file in memoria e correggendo il modo in cui Microsoft Office analizza i file appositamente creati. Per altre informazioni sulle vulnerabilità, vedere la sezione Informazioni sulla vulnerabilità.

Per altre informazioni su questo aggiornamento, vedere l'articolo della Microsoft Knowledge Base 3064949. 

Software interessato

Sono interessate le versioni o le edizioni software seguenti. Le versioni o le edizioni non elencate superano il ciclo di vita del supporto o non sono interessate. Per determinare il ciclo di vita del supporto per la versione o l'edizione del software, vedere supporto tecnico Microsoft Ciclo di vita. 

Microsoft Office Software

^[1]Questo aggiornamento è disponibile tramite Windows Update. 

*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in una catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (gli aggiornamenti sostituiti sono disponibili nella scheda Dettagli pacchetto).

Domande frequenti su Aggiornamento

Sono disponibili più pacchetti di aggiornamento per alcuni dei software interessati. È necessario installare tutti gli aggiornamenti elencati nella tabella Software interessato per il software?
Sì. I clienti devono applicare tutti gli aggiornamenti offerti per il software installato nei propri sistemi.

Viene offerto un aggiornamento per il software non elencato in modo specifico nella tabella Software interessato. Perché viene offerto questo aggiornamento?
Quando un aggiornamento risolve il codice vulnerabile presente in un componente condiviso tra più prodotti Microsoft Office o condiviso tra più versioni dello stesso prodotto Microsoft Office, l'aggiornamento viene considerato applicabile a tutti i prodotti e le versioni supportati che contengono il componente vulnerabile.

Ad esempio, quando un aggiornamento si applica ai prodotti Microsoft Office 2007, solo Microsoft Office 2007 può essere elencato specificamente nella tabella Software interessato. Tuttavia, l'aggiornamento potrebbe essere applicato a Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer o qualsiasi altro prodotto di Microsoft Office 2007 non specificato nella tabella Software interessato.

Ad esempio, quando un aggiornamento si applica ai prodotti Microsoft Office 2010, solo Microsoft Office 2010 può essere elencato specificamente nella tabella Software interessato. Tuttavia, l'aggiornamento potrebbe essere applicato a Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Visualizzatore di Microsoft Visio o qualsiasi altro prodotto di Microsoft Office 2010 non elencato in modo specifico nella tabella Software interessato.

Ad esempio, quando un aggiornamento si applica ai prodotti Microsoft Office 2013, solo Microsoft Office 2013 può essere elencato specificamente nella tabella Software interessato. Tuttavia, l'aggiornamento potrebbe essere applicato a Microsoft Word 2013, Microsoft Excel 2013, Microsoft Visio 2013 o qualsiasi altro prodotto di Microsoft Office 2013 non elencato in modo specifico nella tabella Software interessato.

Classificazioni di gravità e identificatori di vulnerabilità

Le classificazioni di gravità seguenti presuppongono il potenziale impatto massimo della vulnerabilità. Per informazioni sulla probabilità, entro 30 giorni dal rilascio di questo bollettino sulla sicurezza, della sfruttabilità della vulnerabilità in relazione alla classificazione di gravità e all'impatto sulla sicurezza, vedere l'indice di exploit nel riepilogo del bollettino di giugno.  

Microsoft Office Software

Informazioni sulla vulnerabilità

Vulnerabilità di utilizzo della memoria non inizializzata di Microsoft Office - CVE-2015-1770

Esiste una vulnerabilità di esecuzione remota del codice nel software di Microsoft Office quando il software di Office non riesce a gestire correttamente gli oggetti in memoria. Un utente malintenzionato che ha sfruttato correttamente questa vulnerabilità potrebbe usare un file appositamente creato per eseguire azioni nel contesto di sicurezza dell'utente corrente. Il file potrebbe quindi eseguire azioni per conto dell'utente connesso con le stesse autorizzazioni dell'utente corrente. Gli utenti con account che dispongono di diritti utente limitati per il sistema in uso risultano meno esposti degli utenti che operano con diritti amministrativi.

Lo sfruttamento di questa vulnerabilità richiede che un utente apra un file appositamente creato con una versione interessata del software di Microsoft Office. In uno scenario di attacco tramite posta elettronica un utente malintenzionato potrebbe sfruttare la vulnerabilità inviando il file appositamente creato all'utente e convincendo l'utente ad aprire il file. In uno scenario di attacco basato sul Web un utente malintenzionato potrebbe ospitare un sito Web (o sfruttare un sito Web compromesso che accetta o ospita contenuto fornito dall'utente) che contiene un file appositamente creato progettato per sfruttare la vulnerabilità. Un utente malintenzionato non avrebbe modo di forzare gli utenti a visitare il sito Web. In alternativa, un utente malintenzionato dovrà convincere gli utenti a fare clic su un collegamento, in genere tramite un incitamento in un messaggio di posta elettronica o Instant Messenger.

L'aggiornamento della sicurezza risolve la vulnerabilità correggendo il modo in cui Microsoft Office gestisce i file in memoria.

Microsoft ha ricevuto informazioni sulla vulnerabilità tramite la divulgazione coordinata delle vulnerabilità. Quando è stato rilasciato questo bollettino sulla sicurezza, Microsoft non aveva ricevuto informazioni per indicare che queste vulnerabilità erano state usate pubblicamente per attaccare i clienti.

Fattori di mitigazione

Microsoft non ha identificato alcun fattore di mitigazione per queste vulnerabilità.

Soluzioni alternative

Le soluzioni alternative seguenti possono essere utili nella situazione:

• Disabilitare i controlli ActiveX in Office
  Per disabilitare i controlli ActiveX in un programma Office 2010 o Office 2013:

  1. Fare clic su File e quindi su Opzioni.
  2. Nella finestra di dialogo Opzioni fare clic su Centro protezione nel riquadro sinistro.
  3. Fare clic su Centro protezione Impostazioni.
  4. Nella finestra di dialogo Centro protezione fare clic su ActiveX Impostazioni nel riquadro sinistro.
  5. Selezionare Disabilita tutti i controlli senza notifica.
  6. Fare clic su OK due volte per uscire dalla finestra di dialogo Opzioni e tornare al documento.  

  Impatto della soluzione alternativa. I controlli ActiveX non funzioneranno nei documenti di Office.

  Come annullare la soluzione alternativa

  In un programma office 2010 o 2013:

  1. Fare clic su File e quindi su Opzioni.
  2. Nella finestra di dialogo Opzioni fare clic su TrustCenter nel riquadro sinistro.
  3. Fare clic su ActiveXCenter Impostazioni.
  4. Selezionare Richiedi conferma prima di abilitare tutti i controlli con restrizioni minime.
  5. Fare clic su OK due volte per uscire dalla finestra di dialogo Opzioni e tornare al documento.  

  Per disabilitare i controlli ActiveX tramite l'editor del Registro di sistema:

  Avviso Se si usa l'editor del Registro di sistema in modo errato, è possibile che si verifichino gravi problemi che potrebbero richiedere di reinstallare il sistema operativo. Microsoft non può garantire che sia possibile risolvere i problemi derivanti dall'uso non corretto dell'editor del Registro di sistema. Utilizzare l'editor del Registro di sistema a proprio rischio.

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni ActiveX passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Microsoft\Office\Common\Security]

  3. Selezionare il valore DWORD DisableAllActiveX (se non esiste, quindi crearlo).

  4. Impostare Il valore dati su 1.

  5. Chiudere l'editor del Registro di sistema.

  Impatto della soluzione alternativa. I controlli ActiveX non funzioneranno nei documenti di Office.

  Come annullare la soluzione alternativa

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni ActiveX passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Microsoft\Office\Common\Security].

  3. Selezionare il valore DisableAllActiveX .

  4. Impostare Valore dati su 0.

  5. Chiudere l'editor del Registro di sistema.  

• Disabilitare l'osf. Controllo ActiveX sandbox in Office tramite l'editor del Registro di sistema
  Avviso Se si usa l'editor del Registro di sistema in modo errato, è possibile che si verifichino gravi problemi che potrebbero richiedere di reinstallare il sistema operativo. Microsoft non può garantire che sia possibile risolvere i problemi derivanti dall'uso non corretto dell'editor del Registro di sistema. Utilizzare l'editor del Registro di sistema a proprio rischio.

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni ActiveX passando al percorso del Registro di sistema seguente:

     [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM Compatibility\{CDDBCC7C-BE18-4A58-9CBF-D62A012272CE}] (se non esiste, crearlo).

  3. Selezionare il valore DWORD Flag di compatibilità (se non esiste, quindi crearlo).

  4. Impostare Il valore dati su 400.

  5. Chiudere l'editor del Registro di sistema.

  Impatto della soluzione alternativa. Documenti di Office che usano l'osf. Il controllo ActiveX sandbox non funzionerà.

  Come annullare la soluzione alternativa

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni ActiveX passando al percorso del Registro di sistema seguente:

     [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM Compatibility\{CDDBCC7C-BE18-4A58-9CBF-D62A012272CE}].

  3. Selezionare il valore DWORD flag di compatibilità.

  4. Impostare Valore dati su 0.

  5. Chiudere l'editor del Registro di sistema.

Più vulnerabilità di danneggiamento della memoria di Microsoft Office

Le vulnerabilità di esecuzione del codice remoto sono presenti nel software di Microsoft Office che viene causato quando il software di Office gestisce in modo non corretto gli oggetti in memoria durante l'analisi dei file di Office appositamente creati. Ciò potrebbe danneggiare la memoria di sistema in modo da consentire a un utente malintenzionato di eseguire codice arbitrario.

Un utente malintenzionato che ha sfruttato correttamente queste vulnerabilità potrebbe eseguire codice arbitrario nel contesto dell'utente corrente. Se l'utente corrente è connesso con diritti utente amministrativi, un utente malintenzionato potrebbe assumere il controllo completo del sistema interessato. L'utente malintenzionato potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati, oppure creare nuovi account con diritti utente completi. Gli utenti con account che dispongono di diritti utente limitati per il sistema in uso risultano meno esposti degli utenti che operano con diritti amministrativi.

Lo sfruttamento di queste vulnerabilità richiede che un utente apra un file appositamente creato con una versione interessata del software di Microsoft Office. In uno scenario di attacco tramite posta elettronica un utente malintenzionato potrebbe sfruttare le vulnerabilità inviando un file appositamente creato all'utente e convincendo l'utente ad aprire il file. In uno scenario di attacco basato sul Web un utente malintenzionato potrebbe ospitare un sito Web (o sfruttare un sito Web compromesso che accetta o ospita contenuto fornito dall'utente) che contiene un file appositamente creato progettato per sfruttare le vulnerabilità. Un utente malintenzionato non avrebbe modo di forzare gli utenti a visitare il sito Web. In alternativa, un utente malintenzionato dovrà convincere gli utenti a fare clic su un collegamento, in genere tramite un incitamento in un messaggio di posta elettronica o Instant Messenger.

L'aggiornamento della sicurezza risolve le vulnerabilità correggendo il modo in cui Microsoft Office analizza i file appositamente creati.

Le tabelle seguenti contengono collegamenti alla voce standard per ogni vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:

Fattori di mitigazione

Microsoft non ha identificato alcun fattore di mitigazione per queste vulnerabilità.

Soluzioni alternative

Le soluzioni alternative seguenti possono essere utili nella situazione:

• Utilizzare i criteri di Blocco file di Microsoft Office per impedire l'apertura dei documenti tramite convertitori legacy
  È possibile impedire l'apertura o il salvataggio di tipi specifici di file in Excel, PowerPoint e Word tramite blocco di file di Office.

  Per modificare le impostazioni di Blocco file in un programma di Office 2010 o Office 2013:

  1. Fare clic su File e quindi su Opzioni.
  2. Nella finestra di dialogo Opzioni fare clic su Centro protezione nel riquadro sinistro.
  3. Fare clic su Centro protezione Impostazioni.
  4. Nella finestra di dialogo Centro protezione fare clic su Blocco file Impostazioni nel riquadro sinistro.
  5. Selezionare Apri e Salva per "Convertitori legacy per Word".
  6. In "Apri comportamento per i tipi di file selezionati" selezionare Non aprire i tipi di file selezionati.
  7. Fare clic su OK due volte per uscire dalla finestra di dialogo Opzioni e tornare al documento.

   

  Impatto della soluzione alternativa. Gli utenti che hanno configurato i criteri di blocco file non potranno aprire i documenti tramite convertitori legacy, a meno che non si trovino in percorsi attendibili.

  Come annullare la soluzione alternativa

  In un programma office 2010 o 2013:

  1. Fare clic su File e quindi su Opzioni.
  2. Nella finestra di dialogo Opzioni fare clic su Centro protezione nel riquadro sinistro.
  3. Fare clic su Centro protezione Impostazioni.
  4. Nella finestra di dialogo Centro protezione fare clic su Ripristina impostazioni predefinite.
  5. Nella finestra di messaggio visualizzata fare clic su Ripristina impostazioni predefinite.
  6. Fare clic su OK due volte per uscire dalla finestra di dialogo Opzioni e tornare al documento.

   

• Per modificare le impostazioni del blocco di file tramite l'editor del Registro di sistema:
  Avviso Se si usa l'editor del Registro di sistema in modo errato, è possibile che si verifichino gravi problemi che potrebbero richiedere di reinstallare il sistema operativo. Microsoft non può garantire che sia possibile risolvere i problemi derivanti dall'uso non corretto dell'editor del Registro di sistema. Utilizzare l'editor del Registro di sistema a proprio rischio.

  Per Office 2007:

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni blocco file passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]

  3. Selezionare il valore DWORD Converters (se non esiste, quindi crearlo)

  4. Impostare Il valore dati su 1.

  5. Chiudere l'editor del Registro di sistema.

   

  Nota Per usare "FileOpenBlock" con Office 2007, è necessario applicare tutti gli aggiornamenti della sicurezza di Office 2007 più recenti a partire da maggio 2007.

  Impatto della soluzione alternativa. Gli utenti che hanno configurato i criteri di blocco file non potranno aprire i documenti tramite convertitori legacy, a meno che non si trovino in percorsi attendibili.

  Come annullare la soluzione alternativa

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni blocco file passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Policies\Microsoft\Office\12.0\Word\Security\FileOpenBlock]

  3. Selezionare il valore Convertitori .

  4. Impostare Valore dati su 0.

  5. Chiudere l'editor del Registro di sistema.

   

  Per Office 2010:

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni blocco file passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Microsoft\Office\14.0\Word\Security\FileBlock]

  3. Selezionare il valore DWORD Converters (se non esiste, quindi crearlo).

  4. Impostare il valore DATA su 2.

  5. Selezionare la sottochiave OpenInProtectedView (se non esiste, quindi crearla).

  6. Impostare il valore del Registro di sistema DWORD della chiave secondaria su 0 (se non esiste, quindi crearlo).

  7. Chiudere l'editor del Registro di sistema.

   

  Impatto della soluzione alternativa. Gli utenti che hanno configurato i criteri di blocco file non potranno aprire i documenti tramite convertitori legacy, a meno che non si trovino in percorsi attendibili.

  Come annullare la soluzione alternativa

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni blocco file passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Microsoft\Office\14.0\Word\Security\FileBlock]

  3. Selezionare la sottochiave Convertitori .

  4. Impostare il valore del Registro di sistema DWORD della chiave secondaria su 0.

  5. Selezionare la sottochiave OpenInProtectedView .

  6. Impostare il valore del Registro di sistema DWORD della chiave secondaria su 1.

  7. Chiudere l'editor del Registro di sistema.

   

  Per Office 2013:

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni blocco file passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Microsoft\Office\15.0\Word\Security\FileBlock]

  3. Selezionare il valore DWORD Converters (se non esiste, quindi crearlo)

  4. Impostare Il valore dati su 2.

  5. Selezionare il valore DWORD OpenInProtectedView (se non esiste, quindi crearlo)

  6. Impostare Valore dati su 0.

  7. Chiudere l'editor del Registro di sistema.

   

  Impatto della soluzione alternativa. Gli utenti che hanno configurato i criteri di blocco file non potranno aprire i documenti tramite convertitori legacy, a meno che non si trovino in percorsi attendibili.

  Come annullare la soluzione alternativa

  1. Aprire l'editor delRegistro di sistema.

  2. Accedere alle impostazioni blocco file passando al percorso del Registro di sistema seguente:

     [HKEY_CURRENT_U edizione Standard R\Software\Microsoft\Office\15.0\Word\Security\FileBlock]

  3. Selezionare il valore Convertitori .

  4. Impostare Valore dati su 0.

  5. Selezionare il valore OpenInProtectedView .

  6. Impostare Valore dati su 1.

  7. Chiudere l'editor del Registro di sistema.

   

  Per istruzioni su come configurare Blocco file di Office usando Criteri di gruppo o Lo Strumento di personalizzazione di Office, vedere Pianificare le impostazioni dei blocchi di file.

Distribuzione degli aggiornamenti della sicurezza

Per informazioni sulla distribuzione degli aggiornamenti della sicurezza, vedere l'articolo della Microsoft Knowledge Base a cui si fa riferimento nel riepilogo esecutivo.

Riconoscimenti

Microsoft riconosce gli sforzi di coloro che si trovano nella community di sicurezza che ci aiutano a proteggere i clienti attraverso la divulgazione coordinata delle vulnerabilità. Per altre informazioni, vedere Riconoscimenti . 

Dichiarazione di non responsabilità

Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.

Revisioni

• V1.0 (9 giugno 2015): Bollettino pubblicato.

Pagina generata 2015-07-23 9:20Z-07:00.