Condividi tramite

Microsoft Security Bulletin MS04-003 - Importante

Il sovraccarico del buffer nella funzione MDAC potrebbe consentire l'esecuzione del codice (832483)

Pubblicato: 13 gennaio 2004 | Aggiornato: 01 aprile 2004

Versione: 1.2

Rilasciato: 13 gennaio 2004
Aggiornamento: 1 aprile 2004
Versione: 1.2

Riepilogo

Chi deve leggere questo documento:
Clienti che usano Microsoft® Windows®

Impatto della vulnerabilità:
Esecuzione di codice in modalità remota

Valutazione massima gravità:
Importante

Raccomandazione:
I clienti devono installare questo aggiornamento della sicurezza alla prima opportunità.

Sostituzione degli aggiornamenti della sicurezza:
Questo aggiornamento sostituisce quello fornito nel bollettino microsoft sulla sicurezza MS03-033.

Avvertenze:
Dopo l'installazione di questo aggiornamento, l'utente che ha crittografato i file temporanei potrebbe ricevere un messaggio di errore. Questo messaggio di errore è documentato e i dettagli sulla risoluzione sono disponibili nell'articolo della Microsoft Knowledge Base 836683.

Percorsi di download degli aggiornamenti software e della sicurezza testati:

Software interessato:

  • Microsoft Data Access Components 2.5 (incluso in Microsoft Windows 2000)

  • Microsoft Data Access Components 2.6 (incluso in Microsoft SQL Server 2000)

  • Microsoft Data Access Components 2.7 (incluso in Microsoft Windows XP)

  • Microsoft Data Access Components 2.8 (incluso in Microsoft Windows Server 2003)

    Nota Lo stesso aggiornamento si applica a tutte queste versioni di MDAC - Scarica l'aggiornamento

  • Microsoft Data Access Components 2.8 (incluso in Windows Server 2003 a 64 bit Edition) - Scaricare l'aggiornamento

Il software elencato sopra è stato testato per determinare se le versioni sono interessate. Altre versioni non includono più il supporto delle patch di sicurezza o potrebbero non essere interessate. Esaminare il sito Web supporto tecnico Microsoft Lifecycle per determinare il ciclo di vita del supporto per il prodotto e la versione.

Informazioni generali

Dettagli tecnici

Descrizione tecnica:

Microsoft Data Access Components (MDAC) è una raccolta di componenti che fornisce la funzionalità sottostante per una serie di operazioni di database, ad esempio la connessione a database remoti e la restituzione di dati a un client. Quando un sistema client in una rete tenta di visualizzare un elenco di computer che eseguono SQL Server e che risiedono nella rete, invia una richiesta di trasmissione a tutti i dispositivi in rete. A causa di una vulnerabilità in un componente MDAC specifico, un utente malintenzionato potrebbe rispondere a questa richiesta con un pacchetto appositamente creato che potrebbe causare un overflow del buffer.

Un utente malintenzionato che ha sfruttato correttamente questa vulnerabilità potrebbe ottenere lo stesso livello di privilegi sul sistema del programma che ha avviato la richiesta di trasmissione. Le azioni che un utente malintenzionato potrebbe eseguire dipende dalle autorizzazioni in base alle quali è stato eseguito il programma tramite MDAC. Se il programma è stato eseguito con privilegi limitati, un utente malintenzionato sarebbe limitato di conseguenza; Tuttavia, se il programma è stato eseguito nel contesto di sistema locale, l'utente malintenzionato avrà lo stesso livello di autorizzazioni.

Poiché la versione originale di MDAC nel sistema potrebbe essere stata modificata dagli aggiornamenti disponibili nel sito Web Microsoft, è consigliabile usare lo strumento seguente per determinare la versione di MDAC disponibile nel sistema: l'articolo della Microsoft Knowledge Base 301202 "HOW TO: Check for MDAC Version" illustra questo strumento e spiega come usarlo. Inoltre, l'articolo della Microsoft Knowledge Base 231943 illustra la cronologia delle versioni diverse di MDAC.

Fattori di mitigazione:

  • Affinché un attacco abbia esito positivo, un utente malintenzionato deve simulare un server SQL che si trova nella stessa subnet IP del sistema di destinazione.
  • Quando un sistema client in una rete tenta di visualizzare un elenco di computer che eseguono SQL Server e che risiedono nella rete, invia una richiesta di trasmissione a tutti i dispositivi in rete. Un sistema di destinazione deve avviare una richiesta di trasmissione di questo tipo per essere vulnerabile a un attacco. Un utente malintenzionato non avrebbe modo di avviare questo primo passaggio, ma avrebbe dovuto attendere che chiunque enumeri i computer che eseguono SQL Server nella stessa subnet. Inoltre, un sistema non è vulnerabile con questi strumenti di gestione SQL installati.
  • Il codice eseguito nel sistema client viene eseguito solo con i privilegi del programma client che ha effettuato la richiesta di trasmissione.

Valutazione gravità:
Microsoft Data Access Components 2.5 (incluso in Windows 2000) Importante
Microsoft Data Access Components 2.6 (incluso in SQL Server 2000) Importante
Microsoft Data Access Components 2.7 (incluso in Windows XP) Importante
Microsoft Data Access Components 2.8 (incluso in Windows Server 2003) Importante

La valutazione precedente si basa sui tipi di sistemi interessati dalla vulnerabilità, sui modelli di distribuzione tipici e sull'effetto che l'exploit della vulnerabilità avrebbe su di essi.

Identificatore di vulnerabilità:CAN-2003-0903

Soluzioni alternative

Microsoft ha testato le soluzioni alternative seguenti. Queste soluzioni alternative non correggeranno la vulnerabilità sottostante. Tuttavia, consentono di bloccare i vettori di attacco noti. Le soluzioni alternative possono ridurre le funzionalità in alcuni casi; in questi casi, la riduzione delle funzionalità è identificata di seguito.

Impedisci alla porta UDP 1434 di accettare il traffico in ingresso.

Bloccare la porta UDP 1434 nell'interfaccia di rete del sistema dall'accettazione del traffico in ingresso. Ad esempio, per bloccare il traffico di rete originato da un computer basato su Windows 2000 proveniente da UDP 1434 a questo host, digitare quanto segue nella riga di comando:

ipsecpol -w REG -p "Block UDP 1434 Filter" -r "Block Inbound UDP 1434 Rule" -f *:1434=0:*:UDP -n BLOCK -x

Vedere l'articolo della Microsoft Knowledge Base 813878 "Come bloccare porte e protocolli di rete specifici tramite IPSec" per altre informazioni su IPsec e sulla tecnologia usata da questa soluzione alternativa.

Impatto della soluzione alternativa: i sistemi client SQL non sarebbero più in grado di avviare richieste di trasmissione SQL. Ad esempio, strumenti come SQL Enterprise Manager usano le richieste di trasmissione per enumerare tutte le istanze di SQL Server in una subnet. La soluzione alternativa impedisce anche le connessioni a istanze non predefinite di SQL Server. Un esempio di istanze non predefinite di SQL Server è costituito da istanze aggiuntive di SQL Server installate nello stesso computer.

Domande frequenti

Qual è l'ambito della vulnerabilità?
Si tratta di una vulnerabilità di sovraccarico del buffer. Un utente malintenzionato che ha sfruttato correttamente questa vulnerabilità potrebbe ottenere lo stesso livello di privilegi sul sistema del programma che ha avviato la richiesta di trasmissione. Le azioni che un utente malintenzionato potrebbe eseguire sul sistema dipenderebbero dalle autorizzazioni dell'account utente con cui è stato eseguito il programma tramite MDAC. Se il programma è stato eseguito con privilegi limitati, un utente malintenzionato sarà limitato di conseguenza. Tuttavia, se il programma è stato eseguito nel contesto del sistema locale, l'utente malintenzionato potrebbe ottenere lo stesso livello di autorizzazioni.

Che cosa causa la vulnerabilità?
La vulnerabilità risulta a causa di un buffer non controllato in un componente MDAC specifico. Se un utente malintenzionato è riuscito a sfruttare correttamente questa vulnerabilità, potrebbe consentire loro di ottenere il controllo sul sistema e intraprendere qualsiasi azione che il processo legittimo che esegue MDAC potrebbe intraprendere.

Che cos'è Microsoft Data Access Components?
Microsoft Data Access Components (MDAC) è una raccolta di componenti che semplificano l'accesso ai database da parte dei programmi e la modifica dei dati all'interno di essi. I database moderni possono assumere una varietà di forme (ad esempio, database di SQL Server, database di Microsoft Access e file XML) e possono essere ospitati in un'ampia gamma di posizioni (ad esempio, nel sistema locale o in un server di database remoto). MDAC fornisce un set consolidato di funzioni per l'uso di queste origini dati in modo coerente. Una buona descrizione di MDAC e dei componenti forniti è disponibile su MSDN.

Ho MDAC nel mio sistema?
È molto probabile che si faccia perché MDAC è una tecnologia onnipresente:

  • MDAC viene installato come parte di Windows 2000, SQL Server 2000, Windows XP e Windows Server 2003.
  • MDAC è disponibile per il download dal sito Web Microsoft.
  • MDAC viene installato da molti altri programmi Microsoft. Per denominare solo alcuni casi, viene installato come parte di Microsoft Windows NT 4.0 Option Pack, Microsoft Access e SQL Server.

È disponibile uno strumento che consente di determinare quale versione di MDAC è in esecuzione nel sistema. L'articolo della Microsoft Knowledge Base 301202 "HOW TO: Check for MDAC Version" descrive questo strumento e spiega come usarlo. Inoltre, l'articolo della Microsoft Knowledge Base 231943 illustra la cronologia delle versioni diverse di MDAC.

Perché Microsoft Windows Update ha offerto una versione della lingua dell'aggiornamento della sicurezza diverso da quello previsto?
È consigliabile, ma non necessario, installare la versione della lingua di questo aggiornamento che segue la lingua MDAC installata dal cliente. I clienti scaricano questo aggiornamento della sicurezza usando Windows Update e successivamente usando Microsoft Software Update Services (SUS), in base alla versione della lingua di Windows di cui dispone un cliente. Un cliente potrebbe avere una versione più recente di MDAC installata, localizzata in una lingua diversa dalla lingua dell'istanza di Windows. Ad esempio, se un cliente installa un'istanza in lingua spagnola di SQL Server installata in un'istanza inglese di Windows, il cliente potrebbe avere una versione in lingua spagnola di MDAC installata. Si tratta di una configurazione supportata per cui è consigliabile aggiornare la lingua spagnola. Alcune voci di log rilevano la disparità. Se il cliente preferisce l'aggiornamento spagnolo, deve installare l'aggiornamento della sicurezza usando i collegamenti di download che si trovano all'inizio di questo bollettino sulla sicurezza.

Nota: mentre l'installazione di questo aggiornamento della sicurezza è in inglese, l'aggiornamento della sicurezza in sé è localizzato e Windows Update offrirà ai clienti un aggiornamento che corrisponde alla versione della lingua di Windows in uso.

Cosa può fare un utente malintenzionato che usa la vulnerabilità?
Questa vulnerabilità potrebbe consentire a un utente malintenzionato di rispondere a una richiesta del sistema client con un pacchetto UDP (User Datagram Protocol) in formato non valido, causando un sovraccarico del buffer. Se un utente malintenzionato dovesse sfruttare correttamente questa vulnerabilità, potrebbe intraprendere qualsiasi azione che desiderasse sul sistema che il processo di overrun potrebbe intraprendere.

In che modo un utente malintenzionato potrebbe sfruttare questa vulnerabilità?
Un utente malintenzionato potrebbe sfruttare questa vulnerabilità simulando un server che esegue SQL Server in ascolto su una rete per un sistema client per richiedere un'enumerazione di tutti i sistemi nella rete specifica che esegue SQL Server. Rispondendo a tale richiesta con un pacchetto appositamente creato, un utente malintenzionato potrebbe causare un sovraccarico del buffer in un componente MDAC specifico nel sistema client.

Cosa fa l'aggiornamento?
Questo aggiornamento della sicurezza rimuove la vulnerabilità convalidando che il numero di byte specificati nella risposta sia di un valore appropriato.

Informazioni sull'aggiornamento della sicurezza

Piattaforme di installazione e prerequisiti:

Per informazioni sull'aggiornamento della sicurezza specifico per la piattaforma, fare clic sul collegamento appropriato:

Componenti di Microsoft Data Access (tutte le versioni)

Prerequisiti

Questo aggiornamento della sicurezza richiede l'installazione di una delle seguenti versioni di MDAC:

Inclusione nei Service Pack futuri:

La correzione per questo problema verrà inclusa in MDAC 2.8 Service Pack 1.

Informazioni sull'installazione

Questo aggiornamento supporta le opzioni di installazione seguenti:

/?                       Visualizza l'elenco delle opzioni di installazione.

/Q usa la modalità non interattiva.

/T:<full path> Specifica la cartella di lavoro temporanea.

/C estrae i file solo nella cartella quando viene usata con /T.

/C:<Cmd> Esegue l'override del comando Installa definito dall'autore.

/N Non riavvia la finestra di dialogo.

Informazioni sulla distribuzione

Ad esempio, il comando della riga di comando seguente installa l'aggiornamento della sicurezza senza alcun intervento dell'utente e elimina un riavvio:

<LAN>_Q832483_MDAC_X86.EXE /C:"dahotfix.exe /q /n" /q:a

L'inglese, ad esempio, <LAN> è ENU.

L'opzione /q specificata per Dahotfix.exe è per un'installazione invisibile all'utente. L'opzione /n elimina il riavvio. L'opzione /q:a finale consiste nell'eliminare anche la finestra popup del contratto di licenza con l'utente finale.

Requisito di riavvio

È necessario riavviare il computer dopo aver applicato questo aggiornamento della sicurezza.

Informazioni sulla rimozione

Questo aggiornamento della sicurezza non può essere rimosso dopo l'installazione.

Informazioni sui file

La versione inglese di questa correzione include gli attributi del file (o versioni successive) elencati nella tabella seguente. Le date e le ore per questi file sono elencate nell'ora UTC (Coordinated Universal Time). Quando si visualizzano le informazioni sul file, le informazioni vengono convertite nell'ora locale. Per trovare la differenza tra l'ora UTC e l'ora locale, usare la scheda Fuso orario nello strumento Data e ora in Pannello di controllo.

MDAC 2.5 Service Pack 2:

Data Time Versione Dimensione Nome del file
29-ottobre 2003 02:20 3.520.6101.0 212,992 Odbc32.dll
28 ottobre 2003 21:44 3.70.11.46 24,848 Odbcbcp.dll
28 ottobre 2003 00:06 3.520.6101.0 102,672 Odbccp32.dll
28 ottobre 2003 21:44 3.70.11.46 524,560 Sqlsrv32.dll

MDAC 2.5 Service Pack 3:

Data Time Versione Dimensione Nome del file
29-ottobre 2003 02:24 3.520.6301.0 212,992 Odbc32.dll
28 ottobre 2003 21:44 3.70.11.46 24,848 Odbcbcp.dll
28 ottobre 2003 01:08 3.520.6301.0 102,672 Odbccp32.dll
28 ottobre 2003 21:44 3.70.11.46 524,560 Sqlsrv32.dll

MDAC 2.6 Service Pack 2:

Data Time Versione Dimensione Nome del file
28 ottobre 2003 17:22 2000.80.747.0 86,588 Dbnetlib.dll
29-ottobre 2003 02:35 3.520.7502.0 417,792 Odbc32.dll
28 ottobre 2003 17:22 2000.80.747.0 29,252 Odbcbcp.dll
29-ottobre 2003 02:34 3.520.7502.0 217,088 Odbccp32.dll
28 ottobre 2003 17:22 2000.80.747.0 479,800 Sqloledb.dll
28 ottobre 2003 17:22 2000.80.747.0 455,236 Sqlsrv32.dll

MDAC 2.7

Data Time Versione Dimensione Nome del file
28 ottobre 2003 05:09 2000.81.9002.0 61,440 Dbnetlib.dll
28 ottobre 2003 17:05 3.520.9002.0 204.800 Odbc32.dll
28 ottobre 2003 05:10 2000.81.9002.0 24,576 Odbcbcp.dll
28 ottobre 2003 05:09 3.520.9002.0 94,208 Odbccp32.dll
28 ottobre 2003 05:06 2.70.9002.0 413,696 Oledb32.dll
28 ottobre 2003 05:09 2000.81.9002.0 450,560 Sqloledb.dll
28 ottobre 2003 05:09 2000.81.9002.0 356,352 Sqlsrv32.dll

Aggiornamento di MDAC 2.7 Service Pack 1 o MDAC 2.7 Service Pack 1:

Data Time Versione Dimensione Nome del file
28 ottobre 2003 04:12 2000.81.9042.0 61,440 Dbnetlib.dll
28 ottobre 2003 04:09 2.71.9042.0 126,976 Msdart.dll
28 ottobre 2003 04:09 3.520.9042.0 204.800 Odbc32.dll
28 ottobre 2003 04:13 2000.81.9042.0 24,576 Odbcbcp.dll
28 ottobre 2003 04:13 3.520.9042.0 98.304 Odbccp32.dll
28 ottobre 2003 04:10 2.71.9042.0 417,792 Oledb32.dll
28 ottobre 2003 04:12 2000.81.9042.0 471,040 Sqloledb.dll
28 ottobre 2003 04:12 2000.81.9042.0 385,024 Sqlsrv32.dll

MDAC 2.8:

Data Time Versione Dimensione Nome del file
12-dicembre 2003 23:40 2000.85.1025.0 24,576 Odbcbcp.dll
19-Novembre-2003 00:38 2000.85.1025.0 401,408 Sqlsrv32.dll

MDAC 2.8 per Windows Server 2003 a 64 bit Edition:

Data Time Versione Dimensione Nome del file
15-dic-2003 18:51 2000.85.1025.0 49,152 Odbcbcp.dll
15-dic-2003 18:52 2000.85.1025.0 978,944 Sqlsrv32.dll

Verifica dell'installazione dell'aggiornamento

Per verificare che l'aggiornamento della sicurezza sia installato nel computer, controllare i manifesti dei file elencati in questo bollettino e assicurarsi di disporre delle versioni corrette dei file.

È anche possibile verificare che questo aggiornamento della sicurezza sia installato esaminando la chiave del Registro di sistema seguente:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Aggiornamenti\DataAccess\Q832483

Per i componenti di Microsoft Data Access 2.8 forniti in Windows Server 2003 a 64 bit Edition, è possibile verificare che questo aggiornamento della sicurezza sia installato esaminando la chiave del Registro di sistema seguente:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\HotFix\KB832483

Nota Queste chiavi del Registro di sistema potrebbero non essere create correttamente se un amministratore o un OEM si integra o esegue lo slipstream dell'aggiornamento della sicurezza 832483 nei file di origine dell'installazione di Windows.

Altre informazioni

Recupero di altri aggiornamenti della sicurezza:

Aggiornamenti per altri problemi di sicurezza sono disponibili nelle posizioni seguenti:

  • Gli aggiornamenti della sicurezza sono disponibili nell'Area download Microsoft e possono essere trovati più facilmente eseguendo una ricerca di parole chiave "security_patch".
  • Aggiornamenti per le piattaforme consumer sono disponibili da Sito Web WindowsUpdate.

Supporto:

  • Il supporto tecnico è disponibile dai Servizi supporto tecnico Microsoft presso 1-866-PCSAFETY per i clienti negli Stati Uniti e in Canada. Non sono previsti addebiti per le chiamate di supporto associate agli aggiornamenti della sicurezza.
  • I clienti internazionali possono ottenere supporto dalle filiali Microsoft locali. Non è previsto alcun addebito per il supporto associato agli aggiornamenti della sicurezza. Le informazioni su come contattare il supporto tecnico Microsoft sono disponibili nel sito Web del supporto internazionale.

Risorse di sicurezza:

Software Update Services (SUS):

Microsoft Software Update Services (SUS) consente agli amministratori di distribuire rapidamente e in modo affidabile gli aggiornamenti critici e gli aggiornamenti della sicurezza più recenti ai server basati su Windows® 2000 e Windows Server™ 2003, nonché ai computer desktop che eseguono Windows 2000 Professional o Windows XP Professional.

Per informazioni su come distribuire questo aggiornamento della sicurezza con Software Update Services, visitare il sito Web di Software Update Services .

Systems Management Server (SMS):

Systems Management Server può fornire assistenza per la distribuzione di questo aggiornamento della sicurezza. Per informazioni su Systems Management Server, visitare il sito Web SMS.

Declinazione di responsabilità:

Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.

Revisioni:

  • V1.0 13 gennaio 2004: Bollettino pubblicato
  • V1.1 30 gennaio 2004: Aggiornamento del criterio IP edizione Standard C nella sezione Soluzioni alternative, aggiornata la stringa di installazione della riga di comando nella sezione Informazioni sulla distribuzione.
  • V1.2 Aprile 1, 2004: sezione Avvisi aggiornati con consigli per i clienti che hanno crittografato i file temporanei.

Costruito al 2014-04-18T13:49:36Z-07:00