La vulnerabilità nel componente grafico Microsoft potrebbe consentire la divulgazione di informazioni (3029944)
Pubblicato: 10 febbraio 2015
Versione: 1.0
Schema riepilogativo
Questo aggiornamento della sicurezza risolve una vulnerabilità segnalata privatamente in Microsoft Windows. La vulnerabilità potrebbe consentire la divulgazione di informazioni se un utente accede a un sito Web contenente un'immagine TIFF appositamente creata. Questa vulnerabilità non consente a un utente malintenzionato di eseguire codice o di elevare direttamente i diritti utente, ma potrebbe essere usata per ottenere informazioni che potrebbero essere usate per tentare di compromettere ulteriormente il sistema interessato.
Questo aggiornamento della sicurezza è valutato Importante per tutte le versioni supportate di Microsoft Windows. Per altre informazioni, vedere la sezione Software interessato.
L'aggiornamento della sicurezza risolve la vulnerabilità correggendo il modo in cui Windows elabora i file di formato immagine TIFF. Per altre informazioni sulla vulnerabilità, vedere la sezione Informazioni sulla vulnerabilità.
Sono interessate le versioni o le edizioni software seguenti. Le versioni o le edizioni non elencate superano il ciclo di vita del supporto o non sono interessate. Per determinare il ciclo di vita del supporto per la versione o l'edizione del software, vedere supporto tecnico Microsoft Ciclo di vita.
[1]Questo aggiornamento è disponibile solo tramite Windows Update .
Classificazioni di gravità e identificatori di vulnerabilità
Le classificazioni di gravità seguenti presuppongono il potenziale impatto massimo della vulnerabilità. Per informazioni sulla probabilità, entro 30 giorni dal rilascio del bollettino sulla sicurezza, della sfruttabilità della vulnerabilità in relazione alla classificazione di gravità e all'impatto sulla sicurezza, vedere l'indice di exploit nel riepilogo del bollettino di febbraio.
Valutazione della gravità della vulnerabilità e Impatto massimo sulla sicurezza da parte del software interessato
Windows Server 2003 x64 Edition Service Pack 2 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2003 con SP2 per sistemi basati su Itanium (3029944)
Divulgazione di informazioni importanti
Importante
Windows Vista
Windows Vista Service Pack 2 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Vista x64 Edition Service Pack 2 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2008
Windows Server 2008 per sistemi a 32 bit Service Pack 2 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2008 per sistemi basati su x64 Service Pack 2 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2008 per sistemi basati su Itanium Service Pack 2 (3029944)
Divulgazione di informazioni importanti
Importante
Windows 7
Windows 7 per sistemi a 32 bit Service Pack 1 (3029944)
Divulgazione di informazioni importanti
Importante
Windows 7 per sistemi basati su x64 Service Pack 1 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2008 R2
Windows Server 2008 R2 per sistemi basati su x64 Service Pack 1 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2008 R2 per sistemi basati su Itanium Service Pack 1 (3029944)
Divulgazione di informazioni importanti
Importante
Windows 8 e Windows 8.1
Windows 8 per sistemi a 32 bit (3029944)
Divulgazione di informazioni importanti
Importante
Windows 8 per sistemi basati su x64 (3029944)
Divulgazione di informazioni importanti
Importante
Windows 8.1 per sistemi a 32 bit (3029944)
Divulgazione di informazioni importanti
Importante
Windows 8.1 per sistemi basati su x64 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2012 e Windows Server 2012 R2
Windows Server 2012 (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2012 R2 (3029944)
Divulgazione di informazioni importanti
Importante
Windows RT e Windows RT 8.1
Windows RT (3029944)
Divulgazione di informazioni importanti
Importante
Windows RT 8.1 (3029944)
Divulgazione di informazioni importanti
Importante
Opzione di installazione dei componenti di base del server
Windows Server 2008 per sistemi a 32 bit Service Pack 2 (installazione server core) (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2008 per sistemi basati su x64 Service Pack 2 (installazione Server Core) (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2008 R2 per sistemi basati su x64 Service Pack 1 (installazione server core) (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2012 (installazione server core) (3029944)
Divulgazione di informazioni importanti
Importante
Windows Server 2012 R2 (installazione server Core) (3029944)
Divulgazione di informazioni importanti
Importante
Informazioni sulla vulnerabilità
Vulnerabilità di divulgazione di informazioni sull'elaborazione TIFF - CVE-2015-0061
Esiste una vulnerabilità di divulgazione di informazioni quando Windows non riesce a gestire correttamente la memoria non inizializzata durante l'analisi di determinati file di formato di immagine TIFF appositamente creati. La vulnerabilità potrebbe consentire la divulgazione di informazioni se un utente malintenzionato esegue un'applicazione appositamente creata in un sistema interessato.
Un utente malintenzionato potrebbe ospitare un sito Web appositamente creato progettato per sfruttare questa vulnerabilità e quindi convincere un utente a visualizzare il sito Web. Questo potrebbe includere anche siti Web compromessi e siti Web che accettano o ospitano contenuti o annunci forniti dall'utente. Questi siti Web possono contenere contenuti appositamente creati che potrebbero sfruttare questa vulnerabilità. In tutti i casi, tuttavia, un utente malintenzionato non avrebbe modo di forzare gli utenti a visitare questi siti Web. Un utente malintenzionato dovrà invece convincere gli utenti a visitare il sito Web, in genere facendo clic su un collegamento in un messaggio di messaggistica istantanea o di posta elettronica che porta gli utenti al sito Web dell'utente malintenzionato. Potrebbe anche essere possibile visualizzare contenuti Web appositamente creati utilizzando annunci banner o utilizzando altri metodi per distribuire contenuti Web ai sistemi interessati.
Un utente malintenzionato che ha sfruttato correttamente questa vulnerabilità potrebbe potenzialmente leggere i dati che non erano destinati a essere divulgati. Si noti che questa vulnerabilità non consente a un utente malintenzionato di eseguire codice o di elevare direttamente i diritti utente, ma potrebbe essere usata per ottenere informazioni che potrebbero essere usate per tentare di compromettere ulteriormente il sistema interessato. L'aggiornamento risolve la vulnerabilità correggendo il modo in cui Windows elabora i file di formato immagine TIFF.
Microsoft ha ricevuto informazioni su questa vulnerabilità tramite la divulgazione coordinata delle vulnerabilità. Quando questo bollettino sulla sicurezza è stato originariamente rilasciato da Microsoft non aveva ricevuto informazioni per indicare che questa vulnerabilità era stata usata pubblicamente per attaccare i clienti.
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per questa vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per questa vulnerabilità.
Distribuzione degli aggiornamenti della sicurezza
Per informazioni sulla distribuzione degli aggiornamenti della sicurezza, vedere l'articolo della Microsoft Knowledge Base a cui si fa riferimento nel riepilogo esecutivo.
Riconoscimenti
Microsoft riconosce gli sforzi di coloro che si trovano nella community di sicurezza che ci aiutano a proteggere i clienti attraverso la divulgazione coordinata delle vulnerabilità. Per altre informazioni, vedere Riconoscimenti .
Dichiarazione di non responsabilità
Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.
Questo modulo spiega in che modo Microsoft 365 monitora in modo proattivo le risorse del sistema informativo per individuare le vulnerabilità, valuta i rischi associati alle vulnerabilità individuate e le corregge in modo tempestivo.
Gli amministratori della sicurezza delle informazioni pianificano e implementano la sicurezza delle informazioni dei dati sensibili usando Microsoft Purview e i servizi correlati. L'utente è responsabile della mitigazione dei rischi proteggendo i dati all'interno di ambienti di collaborazione gestiti da Microsoft 365 da minacce interne ed esterne e proteggendo i dati usati dai servizi di intelligenza artificiale. Si implementa anche la protezione delle informazioni, la prevenzione della perdita dei dati, la