Aggiornamento della sicurezza per Microsoft Uniscribe to Address Remote Code Execution (3108670)
Pubblicato: 8 dicembre 2015
Versione: 1.0
Schema riepilogativo
Questo aggiornamento della sicurezza risolve una vulnerabilità in Microsoft Windows. La vulnerabilità potrebbe consentire l'esecuzione di codice remoto se un utente apre un documento appositamente creato o visita una pagina Web non attendibile che contiene tipi di carattere appositamente creati.
Questo aggiornamento della sicurezza è valutato Critical per tutte le edizioni supportate di Windows 7 e Windows Server 2008 R2. Per altre informazioni, vedere la sezione Software interessato.
L'aggiornamento della sicurezza risolve la vulnerabilità correggendo il modo in cui Windows analizza i tipi di carattere. Per altre informazioni sulla vulnerabilità, vedere la sezione Informazioni sulla vulnerabilità.
Classificazioni di gravità del software e della vulnerabilità interessate
Sono interessate le versioni o le edizioni software seguenti. Le versioni o le edizioni non elencate superano il ciclo di vita del supporto o non sono interessate. Per determinare il ciclo di vita del supporto per la versione o l'edizione del software, vedere supporto tecnico Microsoft Ciclo di vita.
Le classificazioni di gravità seguenti presuppongono il potenziale impatto massimo della vulnerabilità. Per informazioni sulla probabilità, entro 30 giorni dal rilascio di questo bollettino sulla sicurezza, della sfruttabilità della vulnerabilità in relazione alla classificazione di gravità e all'impatto sulla sicurezza, vedere l'indice di exploit nel riepilogo del bollettino di dicembre.
Valutazione della gravità della vulnerabilità e Impatto massimo sulla sicurezza da parte del software interessato
*La colonna Aggiornamenti Sostituito mostra solo l'aggiornamento più recente in qualsiasi catena di aggiornamenti sostituiti. Per un elenco completo degli aggiornamenti sostituiti, passare a Microsoft Update Catalog, cercare il numero kb di aggiornamento e quindi visualizzare i dettagli degli aggiornamenti (le informazioni sostituite vengono fornite nella scheda Dettagli pacchetto).
Informazioni sulla vulnerabilità
Vulnerabilità underflow integer di Windows - CVE-2015-6130
Esiste una vulnerabilità di esecuzione remota del codice quando Windows Uniscribe analizza in modo non corretto i tipi di carattere appositamente creati. Un utente malintenzionato che ha sfruttato correttamente la vulnerabilità potrebbe installare programmi; visualizzare, modificare o eliminare i dati; o creare nuovi account con diritti utente completi.
Esistono diversi modi in cui un utente malintenzionato potrebbe sfruttare la vulnerabilità, ad esempio convincendo un utente ad aprire un documento appositamente creato o convincendo un utente a visitare una pagina Web non attendibile che contiene tipi di carattere incorporati. L'aggiornamento della sicurezza risolve la vulnerabilità correggendo il modo in cui Windows analizza i tipi di carattere.
Microsoft ha ricevuto informazioni su questa vulnerabilità tramite la divulgazione coordinata delle vulnerabilità. Al momento dell'emissione di questo bollettino sulla sicurezza, Microsoft non era a conoscenza di eventuali attacchi che tentavano di sfruttare la vulnerabilità.
Fattori di mitigazione
Microsoft non ha identificato alcun fattore di mitigazione per questa vulnerabilità.
Soluzioni alternative
Microsoft non ha identificato soluzioni alternative per questa vulnerabilità.
Distribuzione degli aggiornamenti della sicurezza
Per informazioni sulla distribuzione degli aggiornamenti della sicurezza, vedere l'articolo della Microsoft Knowledge Base a cui si fa riferimento qui nel riepilogo esecutivo.
Riconoscimenti
Microsoft riconosce gli sforzi di coloro che si trovano nella community di sicurezza che ci aiutano a proteggere i clienti attraverso la divulgazione coordinata delle vulnerabilità. Per altre informazioni, vedere Riconoscimenti .
Dichiarazione di non responsabilità
Le informazioni fornite nella Microsoft Knowledge Base vengono fornite "così com'è" senza garanzia di alcun tipo. Microsoft dichiara tutte le garanzie, espresse o implicite, incluse le garanzie di commerciabilità e idoneità per uno scopo specifico. In nessun caso, Microsoft Corporation o i suoi fornitori saranno responsabili di qualsiasi danno, incluso diretto, indiretto, accidentale, consequenziale, perdita di profitti aziendali o danni speciali, anche se Microsoft Corporation o i suoi fornitori sono stati informati della possibilità di tali danni. Alcuni stati non consentono l'esclusione o la limitazione della responsabilità per danni consequenziali o accidentali, pertanto la limitazione precedente potrebbe non essere applicata.
Gli amministratori della sicurezza delle informazioni pianificano e implementano la sicurezza delle informazioni dei dati sensibili usando Microsoft Purview e i servizi correlati. L'utente è responsabile della mitigazione dei rischi proteggendo i dati all'interno di ambienti di collaborazione gestiti da Microsoft 365 da minacce interne ed esterne e proteggendo i dati usati dai servizi di intelligenza artificiale. Si implementa anche la protezione delle informazioni, la prevenzione della perdita dei dati, la