Microsoft Security Bulletin MS17-013 - Critico
Aggiornamento della sicurezza per il componente grafica Microsoft (4013075)
Pubblicato: 14 marzo 2017 | Aggiornamento: 9 maggio 2017
Versione: 3.0
Schema riepilogativo
Questo aggiornamento della sicurezza risolve le vulnerabilità in Microsoft Windows, Microsoft Office, Skype for Business, Microsoft Lync e Microsoft Silverlight. La più grave di queste vulnerabilità potrebbe consentire l'esecuzione di codice remoto se un utente visita un sito Web appositamente creato o apre un documento appositamente creato. Gli utenti con account che dispongono di diritti utente limitati per il sistema in uso risultano meno esposti degli utenti che operano con diritti amministrativi.
Questo aggiornamento della sicurezza è valutato critical per:
- Tutte le versioni supportate di Microsoft Windows
- Edizioni interessate di Microsoft Office 2007 e Microsoft Office 2010
- Edizioni interessate di Skype for Business 2016, Microsoft Lync 2013 e Microsoft Lync 2010
- Edizioni interessate di Silverlight
L'aggiornamento della sicurezza risolve le vulnerabilità correggendo il modo in cui il software gestisce gli oggetti in memoria.
Per altre informazioni, vedere la sezione Valutazioni di gravità del software e della vulnerabilità interessate.
Per altre informazioni su questo aggiornamento, vedere l'articolo della Microsoft Knowledge Base 4013075.
Classificazioni di gravità del software e della vulnerabilità interessate
Sono interessate le versioni o le edizioni software seguenti. Le versioni o le edizioni non elencate superano il ciclo di vita del supporto o non sono interessate. Per determinare il ciclo di vita del supporto per la versione o l'edizione del software, vedere supporto tecnico Microsoft Ciclo di vita.
Le classificazioni di gravità indicate per ogni software interessato presuppongono il potenziale impatto massimo della vulnerabilità. Per informazioni sulla probabilità, entro 30 giorni dal rilascio di questo bollettino sulla sicurezza, della sfruttabilità della vulnerabilità in relazione alla classificazione di gravità e all'impatto sulla sicurezza, vedere l'indice di exploit nel riepilogo del bollettino di marzo.
Microsoft Windows
| Sistema operativo | Vulnerabilità di elevazione dei privilegi di Windows GDI CVE-2017-0001CVE-2017-0005CVE-2017-0025CVE-2017-0047 | Vulnerabilità di divulgazione di informazioni di Windows GDI+ CVE-2017-0060CVE-2017-0062CVE-2017-0073 | Vulnerabilità di divulgazione delle informazioni sulla gestione dei colori Microsoft - CVE-2017-0061 | Vulnerabilità di divulgazione delle informazioni sulla gestione dei colori Microsoft - CVE-2017-0063 | Vulnerabilità di divulgazione delle informazioni sui componenti grafici windows - CVE-2017-0038 | Vulnerabilità di esecuzione remota del codice del componente grafico windows - CVE-2017-0108 | Vulnerabilità relativa all'esecuzione di codice remoto del componente grafico windows - CVE-2017-0014 | Aggiornamenti sostituito* |
|---|---|---|---|---|---|---|---|---|
| Windows Vista | ||||||||
| Windows Vista Service Pack 2 (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Vista x64 Edition Service Pack 2 (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Vista Service Pack 2 (4017018) | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | None |
| Windows Vista x64 Edition Service Pack 2 (4017018) | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | None |
| Windows Vista Service Pack 2 (4012584) | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Vista x64 Edition Service Pack 2 (4012584) | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Vista Service Pack 2 (4012497) | Elevazione dei privilegi importante | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | 3204723 in MS16-151 |
| Windows Vista x64 Edition Service Pack 2 (4012497) | Elevazione dei privilegi importante | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | 3204723 in MS16-151 |
| Windows Server 2008 | ||||||||
| Windows Server 2008 per sistemi a 32 bit Service Pack 2 (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Server 2008 per sistemi basati su x64 Service Pack 2 (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Server 2008 per sistemi basati su Itanium Service Pack 2 (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Server 2008 per sistemi a 32 bit Service Pack 2 (4017018) | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi basati su x64 Service Pack 2 (4017018) | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi basati su Itanium Service Pack 2 (4017018) | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi basati su Itanium Service Pack 2 (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Server 2008 per sistemi a 32 bit Service Pack 2 (4012584) | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi basati su x64 Service Pack 2 (4012584) | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi basati su Itanium Service Pack 2 (4012584) | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi a 32 bit Service Pack 2 (4012497) | Elevazione dei privilegi importante | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | 3204723 in MS16-151 |
| Windows Server 2008 per sistemi basati su x64 Service Pack 2 (4012497) | Elevazione dei privilegi importante | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | 3204723 in MS16-151 |
| Windows Server 2008 per sistemi basati su Itanium Service Pack 2 (4012497) | Elevazione dei privilegi importante | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | 3204723 in MS16-151 |
| Windows 7 | ||||||||
| Solo sicurezza di Windows 7 per sistemi a 32 bit Service Pack 1 (4012212) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | None |
| Rollup mensile di Windows 7 per sistemi a 32 bit Service Pack 1 (4012215) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | 3212646 |
| Solo sicurezza di Windows 7 per sistemi basati su x64 Service Pack 1 (4012212) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | None |
| Rollup mensile di Windows 7 per sistemi basati su x64 Service Pack 1 (4012215) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | 3212646 |
| Windows Server 2008 R2 | ||||||||
| Windows Server 2008 R2 per sistemi basati su x64 Service Pack 1 (4012212) Solo sicurezza[3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | None |
| Rollup mensile di Windows Server 2008 R2 per sistemi basati su x64 Service Pack 1 (4012215) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | 3212646 |
| Solo sicurezza di Windows Server 2008 R2 per sistemi basati su Itanium Service Pack 1 (4012212) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | None |
| Rollup mensile di Windows Server 2008 R2 per sistemi basati su Itanium Service Pack 1 (4012215) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | 3212646 |
| Windows 8.1 | ||||||||
| Solo sicurezza di Windows 8.1 per sistemi a 32 bit (4012213) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | None |
| Rollup mensile di Windows 8.1 per sistemi a 32 bit (4012216) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3205401 |
| Solo sicurezza di Windows 8.1 per sistemi basati su x64 (4012213) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | None |
| Windows 8.1 per sistemi basati su x64 (4012216) Rollup mensile[3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3205401 |
| Windows Server 2012 e Windows Server 2012 R2 | ||||||||
| Solo sicurezza di Windows Server 2012 (4012214) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | None |
| Rollup mensile di Windows Server 2012 (4012217) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3205409 |
| Solo sicurezza di Windows Server 2012 R2 (4012213) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | None |
| Rollup mensile di Windows Server 2012 R2 (4012216) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3205401 |
| Windows RT 8.1 | ||||||||
| Rollup mensile di Windows RT 8.1[1](4012216) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3205401 |
| Windows 10 | ||||||||
| Windows 10 per sistemi a 32 bit[2](4012606) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3210720 |
| Windows 10 per sistemi basati su x64[2](4012606) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3210720 |
| Windows 10 versione 1511 per sistemi a 32 bit[2](4013198) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3210721 |
| Windows 10 versione 1511 per sistemi basati su x64[2](4013198) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3210721 |
| Windows 10 versione 1607 per sistemi a 32 bit[2](4013429) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3213986 |
| Windows 10 versione 1607 per sistemi basati su x64[2](4013429) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3213986 |
| Windows Server 2016 | ||||||||
| Windows Server 2016 per sistemi basati su x64 (4013429) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | 3213986 |
| Opzione di installazione dei componenti di base del server | ||||||||
| Windows Server 2008 per sistemi a 32 bit Service Pack 2 (installazione server core) (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Server 2008 per sistemi basati su x64 Service Pack 2 (installazione Server Core) (4012583) | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Non applicabile | 3204724 in MS16-146 |
| Windows Server 2008 per sistemi a 32 bit Service Pack 2 (installazione server core) (4012584) | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi basati su x64 Service Pack 2 (installazione Server Core) (4012584) | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi a 32 bit Service Pack 2 (installazione server core) (4012497) | Elevazione dei privilegi importante | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Server 2008 per sistemi basati su x64 Service Pack 2 (installazione Server Core) (4012497) | Elevazione dei privilegi importante | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | Non applicabile | None |
| Windows Server 2008 R2 per sistemi basati su x64 Service Pack 1 (installazione server core) (4012212) Solo sicurezza[3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | None |
| Windows Server 2008 R2 per sistemi basati su x64 Service Pack 1 (installazione server core) (4012215) Rollup mensile[3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | 3212646 |
| Solo sicurezza di Windows Server 2012 (installazione di Server Core) (4012214) [3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | None |
| Windows Server 2012 (installazione server core) (4012217) Rollup mensile[3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Non applicabile | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3205409 |
| Solo sicurezza di Windows Server 2012 R2 (installazione server Core) (4012213) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | None |
| Windows Server 2012 R2 (installazione server Core) (4012216) Rollup mensile[3] | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3205401 |
| Windows Server 2016 per sistemi basati su x64 (installazione server core) (4013429) | Elevazione dei privilegi importante | Divulgazione di informazioni importanti | Non applicabile | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Non applicabile | Esecuzione di codice remoto critico | 3213986 |
[1]Questo aggiornamento è disponibile solo tramite Windows Update.
[2]Gli aggiornamenti di Windows 10 sono cumulativi. La versione della sicurezza mensile include tutte le correzioni di sicurezza per le vulnerabilità che interessano Windows 10, oltre agli aggiornamenti non della sicurezza. Gli aggiornamenti sono disponibili tramite il Catalogo di Microsoft Update.
[3]A partire dalla versione di ottobre 2016, Microsoft sta modificando il modello di manutenzione degli aggiornamenti per Windows 7, Windows Server 2008 R2, Windows 8.1, Windows Server 2012 e Windows Server 2012 R2. Per altre informazioni, vedere questo articolo di Microsoft TechNet.
*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in qualsiasi catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (le informazioni sostituite vengono fornite nella scheda PackageDetails ).
Microsoft Office
| Sistema operativo | Vulnerabilità di divulgazione di informazioni GDI+ - CVE-2017-0060 | Vulnerabilità di divulgazione di informazioni GDI+ - CVE-2017-0073 | Vulnerabilità di esecuzione remota del codice del componente grafico windows - CVE-2017-0108 | Vulnerabilità relativa all'esecuzione di codice remoto del componente grafico windows - CVE-2017-0014 | Aggiornamenti sostituito* |
|---|---|---|---|---|---|
| Microsoft Office 2007 | |||||
| Microsoft Office 2007 Service Pack 3 (3127945) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Non applicabile | 3115109 in MS16-097 |
| Microsoft Office 2007 Service Pack 3 (3141535) | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Non applicabile | 3115109 in MS16-097 |
| Microsoft Office 2010 | |||||
| Microsoft Office 2010 Service Pack 2 (edizioni a 32 bit) (3127958) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Non applicabile | 3115131 in MS16-097 |
| Microsoft Office 2010 Service Pack 2 (edizioni a 64 bit) (3127958) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Non applicabile | 3115131 in MS16-097 |
| Microsoft Office 2010 Service Pack 2 (edizioni a 32 bit) (3178688) | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | 2889841 in MS16-148 |
| Microsoft Office 2010 Service Pack 2 (edizioni a 64 bit) (3178688) | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Esecuzione di codice remoto critico | 2889841 in MS16-148 |
| Altro software di Office | |||||
| Visualizzatore Microsoft Word (3178693) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | Non applicabile | 3118394 in MS16-120 |
| Visualizzatore Microsoft Word (3178653) | Non applicabile | Non applicabile | Esecuzione di codice remoto critico | Non applicabile | 3127995 in MS16-148 |
*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in qualsiasi catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (le informazioni sostituite vengono fornite nella scheda Dettagli pacchetto).
Piattaforme di comunicazione Microsoft e software
| Sistema operativo | Vulnerabilità di divulgazione di informazioni GDI+ - CVE-2017-0060 | Vulnerabilità di divulgazione di informazioni GDI+ - CVE-2017-0073 | Vulnerabilità di esecuzione remota del codice del componente grafico windows - CVE-2017-0108 | Aggiornamenti sostituito* |
|---|---|---|---|---|
| Skype for Business 2016 | ||||
| Skype for Business 2016 (edizioni a 32 bit) (3178656) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118327 in MS16-120 |
| Skype for Business Basic 2016 (edizioni a 32 bit) (3178656) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118327 in MS16-120 |
| Skype for Business 2016 (edizioni a 64 bit) (3178656) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118327 in MS16-120 |
| Skype for Business Basic 2016 (edizioni a 64 bit) (3178656) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118327 in MS16-120 |
| Microsoft Lync 2013 | ||||
| Microsoft Lync 2013 Service Pack 1 (32 bit)[1](Skype for Business) (3172539) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118348 in MS16-120 |
| Microsoft Lync Basic 2013 Service Pack 1 (32 bit)[1](Skype for Business Basic) (3172539) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118348 in MS16-120 |
| Microsoft Lync 2013 Service Pack 1 (64 bit)[1](Skype for Business) (3172539) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118348 in MS16-120 |
| Microsoft Lync Basic 2013 Service Pack 1 (64 bit)[1](Skype for Business Basic) (3172539) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3118348 in MS16-120 |
| Microsoft Lync 2010 | ||||
| Microsoft Lync 2010 (32 bit) (4010299) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3188397 in MS16-120 |
| Microsoft Lync 2010 (64 bit) (4010299) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3188397 in MS16-120 |
| Microsoft Lync 2010 Partecipante[2](installazione a livello di utente) (4010300) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3188399 in MS16-120 |
| Microsoft Lync 2010 Partecipante (installazione a livello di amministratore) (4010301) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3188400 in MS16-120 |
| Microsoft Live Meeting 2007 Console | ||||
| Console di Microsoft Live Meeting 2007[3](4010303) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | 3189647 in MS16-120 |
| Componente aggiuntivo microsoft Live Meeting 2007[3](4010304) | Divulgazione di informazioni importanti | Divulgazione di informazioni importanti | Esecuzione di codice remoto critico | None |
[1]Prima di installare questo aggiornamento, è necessario che sia installato 2965218 aggiornamento e 3039779 aggiornamento della sicurezza. Per altre informazioni, vedere Le domande frequenti sull'aggiornamento.
[2]Questo aggiornamento è disponibile nell'Area download Microsoft.
[3]È disponibile anche un aggiornamento per il componente aggiuntivo Conferenza per Microsoft Office Outlook. Per altre informazioni e collegamenti per il download, vedere Scaricare il componente aggiuntivo Conferenza per Microsoft Office Outlook.
*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in una catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (gli aggiornamenti sostituiti sono disponibili nella scheda Dettagli pacchetto).
Microsoft Developer Tools and Software
| Software | Vulnerabilità di esecuzione remota del codice del componente grafico windows - CVE-2017-0108 | *Aggiornamenti sostituito ** |
|---|---|---|
| Microsoft Silverlight 5 se installato in tutte le versioni supportate dei client Microsoft Windows\ (4013867) | Critical\ Remote Code Execution | 3193713 in MS16-120 |
| Microsoft Silverlight 5 Developer Runtime se installato in tutte le versioni supportate dei client Microsoft Windows\ (4013867) | Critical\ Remote Code Execution | 3193713 in MS16-120 |
| Microsoft Silverlight 5 quando installato in tutte le versioni supportate dei server Microsoft Windows\ (4013867) | Critical\ Remote Code Execution | 3193713 in MS16-120 |
| Microsoft Silverlight 5 Developer Runtime se installato in tutte le versioni supportate dei server Microsoft Windows\ (4013867) | Critical\ Remote Code Execution | 3193713 in MS16-120 |
*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in una catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (gli aggiornamenti sostituiti sono disponibili nella scheda Dettagli pacchetto).
Domande frequenti su Aggiornamento
Perché l'aggiornamento della sicurezza 4012583 in questo bollettino è indicato anche in MS17-011?
Perché l'aggiornamento della sicurezza è 4012497 anche in questo bollettino indicato in MS17-018?
Anche l'aggiornamento della sicurezza 4012583 è indicato in MS17-011 e 4012497 è indicato anche in MS17-018 per le versioni supportate di Windows Vista e Windows Server 2008 a causa del modo in cui vengono consolidate le correzioni per le vulnerabilità che interessano determinati prodotti. Poiché i bollettini sono suddivisi in base alle vulnerabilità risolte, non al rilascio del pacchetto di aggiornamento, è possibile che i bollettini separati, ognuno dei quali affronti vulnerabilità diverse, elencare lo stesso pacchetto di aggiornamento del veicolo per fornire le rispettive correzioni. Questo è spesso il caso di aggiornamenti cumulativi per i prodotti, ad esempio Internet Explorer o Silverlight, in cui singoli aggiornamenti della sicurezza risoli riguardano vulnerabilità di sicurezza diverse in bollettini separati.
Nota Gli utenti non devono installare gli stessi aggiornamenti della sicurezza forniti con più bollettini più volte.
Sono disponibili più pacchetti di aggiornamento per alcuni dei software interessati. È necessario installare tutti gli aggiornamenti elencati nella tabella Software interessato per il software?
Sì. I clienti devono applicare tutti gli aggiornamenti offerti per il software installato nei propri sistemi. Se si applicano più aggiornamenti, possono essere installati in qualsiasi ordine.
È necessario installare questi aggiornamenti della sicurezza in una sequenza specifica?
No. È possibile applicare più aggiornamenti per un determinato sistema in qualsiasi sequenza.
Sono in esecuzione Office 2010, che è elencato come software interessato. Perché non viene offerto l'aggiornamento?
L'aggiornamento, KB3127958 (Ogl.dll), non è applicabile a Office 2010 in Windows Vista e versioni successive di Windows perché il codice vulnerabile non è presente.
Viene offerto questo aggiornamento per il software che non è indicato specificamente come interessato nella tabella Valutazioni di gravità del software e della vulnerabilità interessate. Perché viene offerto questo aggiornamento?
Quando gli aggiornamenti rispondono a codice vulnerabile presente in un componente condiviso tra più prodotti Microsoft Office o condivisi tra più versioni dello stesso prodotto Microsoft Office, l'aggiornamento viene considerato applicabile a tutti i prodotti e le versioni supportati che contengono il componente vulnerabile.
Ad esempio, quando un aggiornamento si applica ai prodotti Microsoft Office 2007, solo Microsoft Office 2007 può essere elencato specificamente nella tabella Software interessato. Tuttavia, l'aggiornamento potrebbe essere applicato a Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer o qualsiasi altro prodotto di Microsoft Office 2007 non specificato nella tabella Software interessato. Inoltre, quando un aggiornamento si applica ai prodotti Microsoft Office 2010, solo Microsoft Office 2010 può essere elencato specificamente nella tabella Software interessato. Tuttavia, l'aggiornamento potrebbe essere applicato a Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Visualizzatore di Microsoft Visio o qualsiasi altro prodotto di Microsoft Office 2010 non elencato in modo specifico nella tabella Software interessato.
Per altre informazioni su questo comportamento e sulle azioni consigliate, vedere l'articolo della Microsoft Knowledge Base 830335. Per un elenco dei prodotti Microsoft Office a cui può essere applicato un aggiornamento, vedere l'articolo della Microsoft Knowledge Base associato all'aggiornamento specifico.
Esistono prerequisiti per uno degli aggiornamenti offerti in questo bollettino per le edizioni interessate di Microsoft Lync 2013 (Skype for Business)?
Sì. I clienti che eseguono edizioni interessate di Microsoft Lync 2013 (Skype for Business) devono prima installare l'aggiornamento 2965218 per Office 2013 rilasciato ad aprile 2015 e quindi l'aggiornamento della sicurezza 3039779 rilasciato a maggio 2015. Per altre informazioni su questi due aggiornamenti dei prerequisiti, vedere:
Perché l'aggiornamento di Lync 2010 Partecipante (installazione a livello di utente) è disponibile solo dall'Area download Microsoft?
Microsoft rilascia l'aggiornamento per Lync 2010 Attendee (installazione a livello di utente) solo nell'Area download Microsoft. Poiché l'installazione a livello utente di Lync 2010 Attendee viene gestita tramite una sessione lync, i metodi di distribuzione come l'aggiornamento automatico non sono appropriati per questo tipo di scenario di installazione.
Questa versione contiene eventuali modifiche aggiuntive relative alla sicurezza alle funzionalità?
Sì. Oltre agli aggiornamenti della sicurezza che affrontano le vulnerabilità descritte in questo bollettino, Microsoft sta rilasciando un aggiornamento che sostituisce alcune librerie di terze parti usate da Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 e tutte le versioni di Windows 10. Questo aggiornamento offre le stesse funzionalità in modo più sicuro e affidabile.
Informazioni sulla vulnerabilità
Vulnerabilità di elevazione dei privilegi GDI di Windows multiple
Esistono vulnerabilità di elevazione dei privilegi nel modo in cui Windows Graphics Device Interface (GDI) gestisce gli oggetti in memoria. Un utente malintenzionato che ha sfruttato correttamente queste vulnerabilità potrebbe eseguire codice arbitrario in modalità kernel. L'utente malintenzionato potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati, oppure creare nuovi account con diritti utente completi.
Per sfruttare queste vulnerabilità, un utente malintenzionato dovrà prima accedere al sistema. Un utente malintenzionato potrebbe quindi eseguire un'applicazione appositamente creata che potrebbe sfruttare queste vulnerabilità e assumere il controllo di un sistema interessato.
L'aggiornamento risolve queste vulnerabilità correggendo il modo in cui GDI gestisce gli oggetti in memoria e impedendo le istanze di elevazione dei privilegi in modalità utente non intenzionali.
La tabella seguente contiene un collegamento alla voce standard per la vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:
| Titolo della vulnerabilità | Numero CVE | Divulgato pubblicamente | Sfruttato |
|---|---|---|---|
| Vulnerabilità di elevazione dei privilegi GDI di Windows | CVE-2017-0001 | No | No |
| Vulnerabilità di elevazione dei privilegi GDI di Windows | CVE-2017-0005 | No | Sì |
| Vulnerabilità di elevazione dei privilegi GDI di Windows | CVE-2017-0025 | No | No |
| Vulnerabilità di elevazione dei privilegi GDI di Windows | CVE-2017-0047 | No | No |
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per queste vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per queste vulnerabilità.
Vulnerabilità di divulgazione delle informazioni sui componenti grafici windows - CVE-2017-0038
Esiste una vulnerabilità di divulgazione di informazioni quando il componente GDI di Windows divulga erroneamente il contenuto della memoria. Un utente malintenzionato che ha sfruttato correttamente la vulnerabilità potrebbe ottenere informazioni per compromettere ulteriormente il sistema dell'utente.
Esistono diversi modi in cui un utente malintenzionato potrebbe sfruttare la vulnerabilità, ad esempio convincendo un utente ad aprire un documento appositamente creato o convincendo un utente a visitare una pagina Web non attendibile.
L'aggiornamento risolve la vulnerabilità correggendo il modo in cui il componente GDI di Windows gestisce gli oggetti in memoria.
La tabella seguente contiene un collegamento alla voce standard per la vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:
| Titolo della vulnerabilità | Numero CVE | Divulgato pubblicamente | Sfruttato |
|---|---|---|---|
| Vulnerabilità di divulgazione delle informazioni sui componenti grafici di Windows | CVE-2017-0038 | No | No |
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per questa vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per questa vulnerabilità.
Vulnerabilità di divulgazione di informazioni GDI+ multiple
Esistono più vulnerabilità di divulgazione di informazioni nel modo in cui l'interfaccia GDI (Windows Graphics Device Interface) gestisce gli oggetti in memoria, consentendo a un utente malintenzionato di recuperare informazioni da un sistema di destinazione. Da solo, la divulgazione di informazioni non consente l'esecuzione arbitraria del codice; Tuttavia, potrebbe consentire l'esecuzione di codice arbitrario se l'utente malintenzionato lo usa in combinazione con un'altra vulnerabilità.
Per sfruttare queste vulnerabilità, un utente malintenzionato dovrà accedere a un sistema interessato ed eseguire un'applicazione appositamente creata.
L'aggiornamento della sicurezza risolve le vulnerabilità correggendo il modo in cui GDI gestisce gli indirizzi di memoria.
La tabella seguente contiene un collegamento alla voce standard per la vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:
| Titolo della vulnerabilità | Numero CVE | Divulgato pubblicamente | Sfruttato |
|---|---|---|---|
| Vulnerabilità di divulgazione di informazioni GDI+ | CVE-2017-0060 | No | No |
| Vulnerabilità di divulgazione di informazioni GDI+ | CVE-2017-0062 | No | No |
| Vulnerabilità di divulgazione di informazioni GDI+ | CVE-2017-0073 | No | No |
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per queste vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per queste vulnerabilità.
Più vulnerabilità di divulgazione delle informazioni sulla gestione dei colori Microsoft
Esistono più vulnerabilità di divulgazione di informazioni nel modo in cui il Modulo gestione colori (ICM32.dll) gestisce gli oggetti in memoria. Queste vulnerabilità consentono a un utente malintenzionato di recuperare informazioni per ignorare la modalità utente ASLR (Address Space Layout Randomization) in un sistema di destinazione. Di per sé, le informazioni divulgate non consentono l'esecuzione arbitraria del codice; Tuttavia, potrebbero consentire l'esecuzione di codice arbitrario se l'utente malintenzionato lo usa in combinazione con un'altra vulnerabilità.
In uno scenario di attacco basato sul Web, un utente malintenzionato potrebbe ospitare un sito Web appositamente progettato per sfruttare la vulnerabilità e quindi convincere gli utenti a visualizzare il sito Web. Un utente malintenzionato non avrebbe modo di forzare gli utenti a visualizzare il contenuto controllato dall'utente malintenzionato. Un utente malintenzionato dovrà invece convincere gli utenti a intervenire, in genere facendo clic su un collegamento in un messaggio di posta elettronica o Instant Messenger che porta gli utenti al sito Web dell'utente malintenzionato o aprendo un allegato inviato tramite posta elettronica.
L'aggiornamento della sicurezza risolve la vulnerabilità correggendo il modo in cui il modulo gestione colori gestisce gli oggetti in memoria.
La tabella seguente contiene un collegamento alla voce standard per la vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:
| Titolo della vulnerabilità | Numero CVE | Divulgato pubblicamente | Sfruttato |
|---|---|---|---|
| Vulnerabilità di divulgazione delle informazioni sulla gestione dei colori Microsoft | CVE-2017-0061 | No | No |
| Vulnerabilità di divulgazione delle informazioni sulla gestione dei colori Microsoft | CVE-2017-0063 | No | No |
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per queste vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per queste vulnerabilità.
Vulnerabilità di esecuzione remota del codice in più componenti grafici
Esistono vulnerabilità di esecuzione del codice remoto a causa del modo in cui il componente grafico di Windows gestisce gli oggetti in memoria. Un utente malintenzionato che ha sfruttato correttamente queste vulnerabilità potrebbe assumere il controllo del sistema interessato. L'utente malintenzionato potrebbe quindi installare programmi e visualizzare, modificare o eliminare dati, oppure creare nuovi account con diritti utente completi. Gli utenti con account che dispongono di diritti utente limitati per il sistema in uso risultano meno esposti degli utenti che operano con diritti amministrativi.
Esistono diversi modi in cui un utente malintenzionato potrebbe sfruttare queste vulnerabilità.
- In uno scenario di attacco basato sul Web, un utente malintenzionato potrebbe ospitare un sito Web appositamente progettato per sfruttare questa vulnerabilità e quindi convincere un utente a visualizzare il sito Web. Un utente malintenzionato non avrebbe modo di forzare gli utenti a visualizzare il contenuto controllato dall'utente malintenzionato. Un utente malintenzionato dovrà invece convincere gli utenti a intervenire, in genere facendogli clic su un collegamento in un messaggio di posta elettronica o in un messaggio di Instant Messenger che porta gli utenti al sito Web dell'utente malintenzionato o aprendo un allegato inviato tramite posta elettronica.
- In uno scenario di attacco di condivisione file, un utente malintenzionato potrebbe fornire un file di documento appositamente progettato per sfruttare queste vulnerabilità e quindi convincere un utente ad aprire il file di documento.
Si noti che per i prodotti Microsoft Office interessati, il riquadro di anteprima è un vettore di attacco.
L'aggiornamento della sicurezza risolve le vulnerabilità correggendo il modo in cui il componente grafico di Windows gestisce gli oggetti nella memoria.
La tabella seguente contiene collegamenti alla voce standard per la vulnerabilità nell'elenco Vulnerabilità ed esposizioni comuni:
| Titolo della vulnerabilità | Numero CVE | Divulgato pubblicamente | Sfruttato |
|---|---|---|---|
| Vulnerabilità di esecuzione remota del codice del componente grafico | CVE-2017-0108 | No | No |
| Vulnerabilità di esecuzione remota del codice del componente grafico | CVE-2017-0014 | Sì | No |
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per queste vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per queste vulnerabilità.
Distribuzione degli aggiornamenti della sicurezza
Per informazioni sulla distribuzione degli aggiornamenti della sicurezza, vedere l'articolo della Microsoft Knowledge Base a cui si fa riferimento nel riepilogo esecutivo.
Riconoscimenti
Microsoft riconosce gli sforzi di coloro che si trovano nella community di sicurezza che ci aiutano a proteggere i clienti attraverso la divulgazione coordinata delle vulnerabilità. Per altre informazioni, vedere Riconoscimenti .
Dichiarazione di non responsabilità
Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.
Revisioni
V1.0 (14 marzo 2017): Bollettino pubblicato.
V1.1 (14 marzo 2017): sostituzione del pacchetto 3178688 che influisce su Microsoft Office 2010 Service Pack 2 (edizioni a 32 e 64 bit) da 3115131 in MS16-097 a 2889841 in MS16-148.
V2.0 (11 aprile 2017): Bollettino modificato per annunciare il rilascio dell'aggiornamento 4017018 per Windows Vista e Windows Server 2008. L'aggiornamento sostituisce 4012583 di aggiornamento solo per CVE-2017-0038 per risolvere in modo completo la vulnerabilità. Microsoft consiglia ai clienti che eseguono il software interessato di installare l'aggiornamento della sicurezza per essere completamente protetti dalla vulnerabilità descritta in questo bollettino. Per altre informazioni, vedere l'articolo della Microsoft Knowledge Base 4017018.
V3.0 (9 maggio 2017): Microsoft ha rilasciato nuovamente l'aggiornamento della sicurezza 4017018 per le edizioni interessate di Windows Server 2008. La ri-release è stata ri-classificata come aggiornamento della sicurezza. Microsoft consiglia ai clienti di installare gli aggiornamenti 4017018 per essere completamente protetti da CVE-2017-0038. I clienti che hanno già installato l'aggiornamento non devono eseguire altre azioni.
Inoltre, questa correzione dell'aggiornamento della sicurezza si applica anche a Windows Server 2008 per sistemi basati su Itanium.
Pagina generata 2017-05-09 09:49-07:00.