Microsoft Security Bulletin MS16-121 - Critico
Aggiornamento della sicurezza per Microsoft Office (3194063)
Pubblicato: 11 ottobre 2016 | Aggiornamento: 12 ottobre 2016
Versione: 1.1
Schema riepilogativo
Questo aggiornamento della sicurezza risolve una vulnerabilità in Microsoft Office. Esiste una vulnerabilità di esecuzione remota del codice RTF di Office nel software di Microsoft Office quando il software di Office non riesce a gestire correttamente i file RTF. Un utente malintenzionato che ha sfruttato correttamente le vulnerabilità potrebbe eseguire codice arbitrario nel contesto dell'utente corrente.
L'aggiornamento risolve la vulnerabilità modificando il modo in cui il software di Microsoft Office gestisce il contenuto RTF.
Per altre informazioni sulle vulnerabilità, vedere la sezione Valutazioni di gravità del software e della vulnerabilità interessate.
Per altre informazioni su questo aggiornamento, vedere l'articolo della Microsoft Knowledge Base 3194063.
Classificazioni di gravità del software e della vulnerabilità interessate
Sono interessate le versioni o le edizioni software seguenti. Le versioni o le edizioni non elencate superano il ciclo di vita del supporto o non sono interessate. Per determinare il ciclo di vita del supporto per la versione o l'edizione del software, vedere supporto tecnico Microsoft Ciclo di vita.
Le classificazioni di gravità seguenti presuppongono il potenziale impatto massimo della vulnerabilità. Per informazioni sulla probabilità, entro 30 giorni dal rilascio del bollettino sulla sicurezza, della sfruttabilità della vulnerabilità in relazione alla valutazione della gravità e dell'impatto sulla sicurezza, vedere l'indice di exploit nel riepilogo del bollettino di ottobre.
Microsoft Office Software
| Software interessato | Vulnerabilità di danneggiamento della memoria di Microsoft Office - CVE-2016-7193 | Aggiornamenti sostituito* |
|---|---|---|
| Microsoft Office 2007 | ||
| Microsoft Word 2007 Service Pack 3 (3118308) | Esecuzione di codice remoto critico | 3115465 in MS16-099 |
| Microsoft Office 2010 | ||
| Microsoft Office 2010 Service Pack 2 (edizioni a 32 bit) (3118311) | Esecuzione di codice remoto critico | 3115468 in MS16-099 |
| Microsoft Office 2010 Service Pack 2 (edizioni a 64 bit) (3118311) | Esecuzione di codice remoto critico | 3115468 in MS16-099 |
| Microsoft Word 2010 Service Pack 2 (edizioni a 32 bit) (3118312) | Esecuzione di codice remoto critico | 3115471 in MS16-099 |
| Microsoft Word 2010 Service Pack 2 (edizioni a 64 bit) (3118312) | Esecuzione di codice remoto critico | 3115471 in MS16-099 |
| Microsoft Office 2013 | ||
| Microsoft Word 2013 Service Pack 1 (edizioni a 32 bit) (3118345) | Esecuzione di codice remoto critico | 3115449 in MS16-099 |
| Microsoft Word 2013 Service Pack 1 (edizioni a 64 bit) (3118345) | Esecuzione di codice remoto critico | 3115449 in MS16-099 |
| Microsoft Office 2013 RT | ||
| Microsoft Word 2013 RT Service Pack 1[1](3118345) | Esecuzione di codice remoto critico | 3115449 in MS16-099 |
| Microsoft Office 2016 | ||
| Microsoft Word 2016 (edizione a 32 bit) (3118331) | Esecuzione di codice remoto critico | 3115439 in MS16-099 |
| Microsoft Word 2016 (edizione a 64 bit) (3118331) | Esecuzione di codice remoto critico | 3115439 in MS16-099 |
| Microsoft Office per Mac 2011 | ||
| Microsoft Word per Mac 2011 (3193442) | Esecuzione di codice remoto critico | 3186805 in MS16-107 |
| Microsoft Office 2016 per Mac | ||
| Microsoft Word 2016 per Mac (3193438) | Esecuzione di codice remoto critico | 3186807 in MS16-107 |
| Altro software di Office | ||
| Microsoft Office Compatibility Pack Service Pack 3 (3118307) | Esecuzione di codice remoto critico | 3115464 in MS16-054 |
| Visualizzatore Microsoft Word (3127898) | Esecuzione di codice remoto critico | 3115480 in MS16-099 |
[1]Questo aggiornamento è disponibile tramite Windows Update.
*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in una catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (gli aggiornamenti sostituiti sono disponibili nella scheda Dettagli pacchetto).
Microsoft Office Services e App Web
| Software interessato | Vulnerabilità di danneggiamento della memoria di Microsoft Office - CVE-2016-7193 | Aggiornamenti sostituito* |
|---|---|---|
| Microsoft SharePoint Server 2010 | ||
| Word Automation Services in Microsoft SharePoint Server 2010 Service Pack 2 (3118377) | Esecuzione di codice remoto critico | 3115466 in MS16-107 |
| Microsoft SharePoint Server 2013 | ||
| Word Automation Services in Microsoft SharePoint Server 2013 Service Pack 1 (3118352) | Esecuzione di codice remoto critico | 3115443 in MS16-107 |
| Microsoft Office App Web 2010 | ||
| Microsoft Office App Web 2010 Service Pack 2 (3118384) | Esecuzione di codice remoto critico | 3115472 in MS16-107 |
| Microsoft Office App Web 2013 | ||
| Microsoft Office App Web Server 2013 Service Pack 1 (3118360) | Esecuzione di codice remoto critico | 3118270 in MS16-107 |
| Office Online Server | ||
| Office Online Server (3127897) | Esecuzione di codice remoto critico | 3118299 in MS16-107 |
*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in una catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (gli aggiornamenti sostituiti sono disponibili nella scheda Dettagli pacchetto).
Domande frequenti su Aggiornamento
È installato Microsoft Word 2010. Perché non viene offerto l'aggiornamento 3118311?
L'aggiornamento 3118311 si applica solo ai sistemi che eseguono configurazioni specifiche di Microsoft Office 2010. Alcune configurazioni non verranno offerte per l'aggiornamento.
Viene offerto questo aggiornamento per il software che non è indicato specificamente come interessato nella tabella Valutazioni di gravità del software e della vulnerabilità interessate. Perché viene offerto questo aggiornamento?
Quando gli aggiornamenti rispondono a codice vulnerabile presente in un componente condiviso tra più prodotti Microsoft Office o condivisi tra più versioni dello stesso prodotto Microsoft Office, l'aggiornamento viene considerato applicabile a tutti i prodotti e le versioni supportati che contengono il componente vulnerabile.
Ad esempio, quando un aggiornamento si applica ai prodotti Microsoft Office 2007, solo Microsoft Office 2007 può essere elencato specificamente nella tabella Software interessato. Tuttavia, l'aggiornamento potrebbe essere applicato a Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer o qualsiasi altro prodotto di Microsoft Office 2007 non specificato nella tabella Software interessato. Inoltre, quando un aggiornamento si applica ai prodotti Microsoft Office 2010, solo Microsoft Office 2010 può essere elencato specificamente nella tabella Software interessato. Tuttavia, l'aggiornamento potrebbe essere applicato a Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Visualizzatore di Microsoft Visio o qualsiasi altro prodotto di Microsoft Office 2010 non elencato in modo specifico nella tabella Software interessato.
Per altre informazioni su questo comportamento e sulle azioni consigliate, vedere l'articolo della Microsoft Knowledge Base 830335. Per un elenco dei prodotti Microsoft Office a cui può essere applicato un aggiornamento, vedere l'articolo della Microsoft Knowledge Base associato all'aggiornamento specifico.
Informazioni sulla vulnerabilità
Vulnerabilità di danneggiamento della memoria di Microsoft Office
Esiste una vulnerabilità di esecuzione remota del codice RTF di Office nel software di Microsoft Office quando il software di Office non riesce a gestire correttamente i file RTF. Un utente malintenzionato che ha sfruttato correttamente le vulnerabilità potrebbe eseguire codice arbitrario nel contesto dell'utente corrente. Se l'utente corrente ha effettuato l'accesso con diritti amministrativi, un utente malintenzionato potrebbe assumere il controllo del sistema interessato. L'utente malintenzionato potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati, oppure creare nuovi account con diritti utente completi. Gli utenti con account che dispongono di diritti utente limitati per il sistema in uso risultano meno esposti degli utenti che operano con diritti amministrativi.
Lo sfruttamento della vulnerabilità richiede che un utente apra un file appositamente creato con una versione interessata del software di Microsoft Office. In uno scenario di attacco tramite posta elettronica un utente malintenzionato potrebbe sfruttare la vulnerabilità inviando il file appositamente creato all'utente e convincendo l'utente ad aprire il file. In uno scenario di attacco basato sul Web un utente malintenzionato potrebbe ospitare un sito Web (o sfruttare un sito Web compromesso che accetta o ospita contenuto fornito dall'utente) che contiene un file appositamente creato progettato per sfruttare le vulnerabilità. Un utente malintenzionato non avrebbe modo di forzare gli utenti a visitare il sito Web. Invece, un utente malintenzionato dovrebbe convincere gli utenti a fare clic su un collegamento, in genere tramite un incitamento in un messaggio di posta elettronica o Instant Messenger, e quindi convincerli ad aprire il file appositamente creato.
L'aggiornamento risolve la vulnerabilità modificando il modo in cui il software di Microsoft Office gestisce il contenuto RTF.
Microsoft ha ricevuto informazioni su questa vulnerabilità tramite la divulgazione coordinata delle vulnerabilità. Microsoft è a conoscenza di attacchi limitati che usano questa vulnerabilità insieme ad altre vulnerabilità per ottenere l'esecuzione del codice.
La tabella seguente contiene il collegamento alla voce standard per la vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:
| Titolo della vulnerabilità | Numero CVE | Divulgato pubblicamente | Sfruttato |
|---|---|---|---|
| Vulnerabilità di danneggiamento della memoria di Microsoft Office | CVE-2016-7193 | No | Sì |
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per queste vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per questa vulnerabilità.
Distribuzione degli aggiornamenti della sicurezza
Per informazioni sulla distribuzione degli aggiornamenti della sicurezza, vedere l'articolo della Microsoft Knowledge Base a cui si fa riferimento nel riepilogo esecutivo.
Riconoscimenti
Microsoft riconosce gli sforzi di coloro che si trovano nella community di sicurezza che ci aiutano a proteggere i clienti attraverso la divulgazione coordinata delle vulnerabilità. Per altre informazioni, vedere Riconoscimenti .
Dichiarazione di non responsabilità
Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.
Revisioni
- V1.0 (11 ottobre 2016): Bollettino pubblicato.
- V1.1 (12 ottobre 2016): questo bollettino è stato modificato per modificare la gravità in Critico. Si tratta solo di una modifica informativa.
Pagina generata 2016-11-28 09:37-08:00.