Risposta di Cisco

• Microsoft ha annunciato quattro bollettini sulla sicurezza che affrontano 11 vulnerabilità come parte del bollettino mensile sulla sicurezza rilasciato l'8 aprile 2014. Un riepilogo di questi bollettini è disponibile sul sito Web Microsoft all'indirizzo http://technet.microsoft.com/en-us/security/bulletin/ms14-apr. Questo documento fornisce le tecniche di identificazione e mitigazione che gli amministratori possono distribuire sui dispositivi di rete Cisco.

  Le vulnerabilità che hanno un vettore di attacco software client, possono essere sfruttate localmente sul dispositivo vulnerabile, richiedono l'interazione dell'utente o possono essere sfruttate mediante attacchi basati sul Web (questi includono, ma non sono limitati a, attacchi tramite script da altri siti, phishing e minacce e-mail basate sul Web) o allegati e-mail e file archiviati in condivisioni di rete sono elencati di seguito:

  • MS14-017
  • MS14-018
  • MS14-019
  • MS14-020

  Di seguito sono elencate le vulnerabilità che presentano un'attenuazione della rete. I dispositivi Cisco forniscono diverse contromisure per le vulnerabilità che hanno un vettore di attacco alla rete, che verranno discusse in dettaglio più avanti in questo documento.

  • MS14-017
  • MS14-019
  • MS14-020

  Le informazioni sui prodotti interessati e non interessati sono disponibili nei rispettivi avvisi Microsoft e negli avvisi Cisco a cui si fa riferimento in Cisco Event Response: Microsoft Security Bulletin Release for April 2014.

  Inoltre, diversi prodotti Cisco utilizzano i sistemi operativi Microsoft come sistema operativo di base. I prodotti Cisco che possono essere interessati dalle vulnerabilità descritte negli avvisi Microsoft a cui si fa riferimento sono descritti in dettaglio nella tabella "Prodotti associati" della sezione "Set di prodotti".

Caratteristiche di vulnerabilità

• MS14-017, Vulnerabilità in Microsoft Word e Office Web Apps Potrebbero consentire l'esecuzione di codice remoto (2949660): A queste vulnerabilità sono stati assegnati gli identificatori CVE (Common Vulnerabilities and Exposures) CVE-2014-4252, CVE-2014-4253 e CVE-2014-3704. Queste vulnerabilità possono essere sfruttate in remoto senza autenticazione e richiedono l'interazione dell'utente. L'utilizzo efficace di queste vulnerabilità può consentire l'esecuzione arbitraria del codice. Il vettore di attacco per lo sfruttamento di queste vulnerabilità è tramite i pacchetti HTTP e HTTPS che in genere utilizzano le porte TCP 80 e 443 ma possono anche utilizzare le porte TCP 3128, 8000, 8010, 8080, 8888 e 24326.

  MS14-019, Cumulative Security Update for Internet Explorer (2950467): A queste vulnerabilità sono stati assegnati gli identificatori CVE-2014-0235, CVE-2014-1751, CVE-2014-1752, CVE-2014-1753, CVE-2014-1753 e CVE-2014-1760. Queste vulnerabilità possono essere sfruttate in remoto senza autenticazione e richiedono l'interazione dell'utente. L'utilizzo efficace di queste vulnerabilità può consentire l'esecuzione arbitraria del codice. Il vettore di attacco per lo sfruttamento di queste vulnerabilità è tramite i pacchetti HTTP e HTTPS che in genere utilizzano le porte TCP 80 e 443 ma possono anche utilizzare le porte TCP 3128, 8000, 8010, 8080, 8888 e 24326.

  MS14-020, Vulnerabilità in Microsoft Publisher Potrebbe consentire esecuzione codice remoto (2950145): A questa vulnerabilità è stato assegnato l'identificatore CVE-2014-1759. Queste vulnerabilità possono essere sfruttate in remoto senza autenticazione e richiedono l'interazione dell'utente. L'utilizzo efficace di queste vulnerabilità può consentire l'esecuzione arbitraria del codice. Il vettore di attacco per lo sfruttamento di queste vulnerabilità è tramite i pacchetti HTTP e HTTPS che in genere utilizzano le porte TCP 80 e 443 ma possono anche utilizzare le porte TCP 3128, 8000, 8010, 8080, 8888 e 24326.

  Cisco ASA serie 5500 e 5500-X Adaptive Security Appliance, Cisco Catalyst serie 6500 ASA Services Module (ASASM), Cisco Firewall Services Module (FWSM) per gli switch Cisco Catalyst serie 6500 e i router Cisco serie 7600, Cisco ACE Application Control Engine Appliance e modulo, Cisco Web and Email Security Appliance e Cisco Cloud Web Security offrono protezione per potenziali tentativi di sfruttare queste vulnerabilità (un argomento incluso in questo documento).

Panoramica delle vulnerabilità

• Informazioni sul software vulnerabile, non interessato e fisso sono disponibili nel Microsoft Security Bulletin Summary per aprile 2014, disponibile al seguente link: http://technet.microsoft.com/en-us/security/bulletin/ms14-apr

Panoramica delle tecniche di mitigazione

• Le vulnerabilità che hanno un vettore di attacco software client, possono essere sfruttate localmente sul dispositivo vulnerabile, richiedono l'interazione dell'utente, possono essere sfruttate mediante attacchi basati sul Web (questi includono, ma non sono limitati a, attacchi di script da altri siti, phishing e minacce e-mail basate sul Web) o allegati e-mail e i file archiviati in condivisioni di rete sono elencati di seguito:

  • MS14-017
  • MS14-018
  • MS14-019
  • MS14-020

  Queste vulnerabilità vengono risolte in modo più efficace all'endpoint tramite aggiornamenti software, formazione degli utenti, best practice per l'amministrazione dei desktop e software di protezione degli endpoint, ad esempio Host Intrusion Prevention Systems (HIPS) o prodotti antivirus.

  Di seguito sono elencate le vulnerabilità che presentano un'attenuazione della rete. I dispositivi Cisco forniscono diverse contromisure per queste vulnerabilità. In questa sezione del documento viene fornita una panoramica di queste tecniche.

  • MS14-017
  • MS14-019
  • MS14-020

  Mezzi efficaci per la prevenzione degli attacchi possono essere forniti anche da Cisco ASA serie 5500 e 5500-X Adaptive Security Appliance, Cisco Catalyst serie 6500 ASA Services Module (ASASM) e Firewall Services Module (FWSM) per gli switch Cisco Catalyst serie 6500 e i router Cisco serie 7600 usando i seguenti metodi:

  • Ispezione protocollo livello applicazione
  • Filtro URL
  • Servizi firewall di nuova generazione

  Questi meccanismi di protezione filtrano ed eliminano i pacchetti che stanno tentando di sfruttare le vulnerabilità che hanno un vettore di attacco di rete.

  L'appliance e il modulo Cisco ACE Application Control Engine possono fornire un'efficace prevenzione degli attacchi anche tramite l'ispezione del protocollo dell'applicazione.

  L'uso efficace delle azioni evento di Cisco Intrusion Prevention System (IPS) offre visibilità e protezione dagli attacchi che tentano di sfruttare queste vulnerabilità.

  L'uso efficace delle azioni di eventi IPS (Sourcefire Intrusion Prevention System) fornisce visibilità e protezione contro gli attacchi che tentano di sfruttare queste vulnerabilità.

  Un uso efficace di Cisco Web Security Appliance può proteggere contro le vulnerabilità che hanno un vettore di attacco sul Web.

  Un uso efficace di Cisco Email Security Appliance può proteggere il sistema dalle vulnerabilità che hanno un vettore di attacco della posta elettronica.

  Un uso efficace di Cisco Cloud Web Security può proteggere dalle vulnerabilità che hanno un vettore di attacco sul Web.

Gestione dei rischi

• Le organizzazioni sono invitate a seguire i processi standard di valutazione e mitigazione dei rischi per determinare l'impatto potenziale di queste vulnerabilità. Triage si riferisce all'ordinamento dei progetti e all'assegnazione delle priorità agli sforzi che hanno maggiori probabilità di avere successo. Cisco ha fornito documenti che possono aiutare le organizzazioni a sviluppare una funzionalità di triage basata sui rischi per i team addetti alla sicurezza delle informazioni. Valutazione dei rischi per la vulnerabilità della sicurezza Gli annunci e la valutazione dei rischi e la creazione di prototipi possono aiutare le organizzazioni a sviluppare processi ripetibili di valutazione della sicurezza e di risposta.

Mitigazione e identificazione specifiche del dispositivo

• Attenzione: l'efficacia di qualsiasi tecnica di mitigazione dipende dalle situazioni specifiche del cliente, come il mix di prodotti, la topologia di rete, il comportamento del traffico e la missione organizzativa. Come per qualsiasi modifica apportata alla configurazione, valutare l'impatto della configurazione prima di applicare la modifica.

  Per questi dispositivi sono disponibili informazioni specifiche sulla mitigazione e l'identificazione:

  • Cisco ASA, Cisco ASASM e Cisco FWSM Firewall
  • Cisco ACE
  • Cisco Intrusion Prevention System
  • Firme Sourcefire Snort Cisco
  • Cisco Web and Email Security
  • Cisco Cloud Web Security

  Cisco ASA, Cisco ASASM e Cisco FWSM Firewall

  Attenuazione: ispezione protocollo livello applicazione

  L'ispezione del protocollo del livello applicazione è disponibile a partire dal software Cisco IOS versione 7.2(1) per Cisco ASA 5500 e serie 5500-X Adaptive Security Appliance, al software IOS versione 8.5 per Cisco Catalyst serie 6500 ASA Services Module e al software IOS versione 4.0(1) per Cisco Firewall Services Module. Questa funzionalità di sicurezza avanzata esegue l'ispezione approfondita del traffico che attraversa il firewall. Gli amministratori possono creare un criterio di ispezione per le applicazioni che richiedono una gestione speciale tramite la configurazione delle mappe delle classi di ispezione e delle mappe dei criteri di ispezione, che vengono applicate tramite un criterio globale o di servizio di interfaccia. L'ispezione dell'applicazione ispezionerà i pacchetti IPv4 e IPv6 corrispondenti nella mappa delle classi del criterio.

  Per ulteriori informazioni sull'ispezione del protocollo a livello di applicazione e sul Modular Policy Framework (MPF), consultare la sezione Guida introduttiva all'ispezione del protocollo a livello di applicazione nel libro 2: Cisco ASA Series Firewall CLI Configuration Guide, 9.1.

  Attenzione: l'ispezione del protocollo a livello di applicazione diminuirà le prestazioni del firewall. Prima di implementare questa funzionalità negli ambienti di produzione, gli amministratori sono invitati a testare l'impatto sulle prestazioni in un ambiente lab.

  Ispezione applicazione HTTP
  Per MS14-017 e MS14-020, utilizzando il motore di ispezione HTTP dei Cisco ASA serie 5500 e 5500-X Adaptive Security Appliance, Cisco serie 6500 ASA Services Module e Cisco Firewall Services Module, gli amministratori possono configurare le espressioni regolari (regex) per la corrispondenza dei modelli e costruire mappe delle classi di ispezione e mappe dei criteri di ispezione. Questi metodi possono contribuire a proteggere il sistema da vulnerabilità specifiche, ad esempio quella descritta in questo documento, e da altre minacce che possono essere associate al traffico HTTP. Nella configurazione di ispezione dell'applicazione HTTP seguente viene utilizzato Cisco Modular Policy Framework (MPF) per creare un criterio per l'ispezione del traffico sulle porte TCP 80, 3128, 8000, 8010, 8080, 8888 e 24326, che sono le porte predefinite per la variabile Cisco IPS #WEBPORTS. Il criterio di ispezione dell'applicazione HTTP eliminerà le connessioni in cui il corpo della risposta HTTP contiene uno dei regex configurati per corrispondere al controllo ActiveX associato a queste vulnerabilità.

  Attenzione: i regex configurati possono corrispondere a stringhe di testo in qualsiasi posizione nel corpo di una risposta HTML. È necessario assicurarsi che le applicazioni aziendali legittime che utilizzano stringhe di testo corrispondenti senza chiamare il controllo ActiveX non vengano influenzate. Per ulteriori informazioni sulla sintassi regex, vedere Creazione di un'espressione regolare.

  Per ulteriori informazioni sugli attacchi ActiveX e sulle relative mitigazioni che utilizzano le tecnologie firewall di Cisco, consultare il white paper Preventing ActiveX Exploits with Cisco Firewall Application Layer Protocol Inspection Cisco Security Intelligence Operations.

  ! !-- Configure regexes that look for either the !-- .rtf or the .pub file extensions that are !-- typically used to exploit the vulnerability !-- associated with MS14-017 and MS14-020 ! 
  regex MS14-017 ".+\x2e[Rr][Tt][Ff]"
  regex MS14-020 ".+\x2e[Pp][Uu][Bb]"
  ! !-- The "?" in the above regexes must be escaped with !-- [CTRL-v]. See Creating a Regular Expression for !-- details  
  ! !-- Configure a regex class to match on the regular !-- expressions that are configured above ! 
  class-map type regex match-any MS14-regex_class
   match regex MS14-017
   match regex MS14-020
  ! !-- Configure an object group for the default ports that !-- are used by the Cisco IPS #WEBPORTS variable, which !-- are TCP ports 80 (www), 3128, 8000, 8010, 8080, 8888, !-- and 24326 !
  object-group service WEBPORTS tcp
   port-object eq www 
   port-object eq 3128 
   port-object eq 8000 
   port-object eq 8010 
   port-object eq 8080 
   port-object eq 8888 
   port-object eq 24326 
  ! !-- Configure an access list that uses the WEBPORTS object !-- group, which will be used to match TCP packets that !-- are destined to the #WEBPORTS variable that is used !-- by a Cisco IPS device !
  access-list Webports_ACL extended permit tcp any any object-group WEBPORTS 
  ! !-- Configure a class that uses the above-configured !-- access list to match TCP packets that are destined !-- to the ports that are used by the Cisco IPS #WEBPORTS !-- variable !
  class-map Webports_Class
   match access-list Webports_ACL
  ! !-- Configure an HTTP application inspection policy that !-- identifies, drops, and logs connections that contain !-- the regexes that are configured above ! policy-map type inspect http MS_Apr_2014_policy
   parameters
  ! !-- "body-match-maximum" indicates the maximum number of !-- characters in the body of an HTTP message that !-- should be searched in a body match. The default value is !-- 200 bytes. A large number such as shown here may have an !-- impact on system performance. Administrators are advised !-- to test performance impact in a lab environment before !-- this command is deployed in production environments. !  body-match-maximum 1380
   match response body regex class MS14-regex_class    
    drop-connection log  
  ! !-- Add the above-configured "Webports_Class" that matches !-- TCP packets that are destined to the default ports !-- that are used by the Cisco IPS #WEBPORTS variable to !-- the default policy "global_policy" and use it to !-- inspect HTTP traffic that transits the firewall ! 
  policy-map global_policy
   class Webports_Class
    inspect http MS_Apr_2014_policy  ! !-- By default, the policy "global_policy" is applied !-- globally, which results in the inspection of !-- traffic that enters the firewall from all interfaces !
  service-policy global_policy global

  Per ulteriori informazioni sulla configurazione e l'uso dei gruppi di oggetti, consultare la sezione Add Global Objects del libro 1: Cisco ASA Series General Operations CLI Configuration Guide, 9.1.

  Per ulteriori informazioni sull'ispezione delle applicazioni HTTP e sull'MPF, consultare la sezione Ispezione HTTP del libro 2: Cisco ASA Series Firewall CLI Configuration Guide, 9.1.

  Per informazioni sull'utilizzo dell'interfaccia della riga di comando (CLI) di Cisco Firewall per misurare l'efficacia dell'ispezione delle applicazioni, fare riferimento al white paper Cisco Security Intelligence Operations Identification of Security Exploits with Cisco ASA, Cisco ASASM e Cisco FWSM Firewall.

  Attenuazione: filtro URL

  Il filtro URL può essere applicato sull'appliance ASA utilizzando i prodotti di filtro Internet Websense Enterprise Secure Computing Smart Filter Server (in precedenza N2H2). Quando il filtro URL è abilitato, l'ASA applica solo le decisioni dei criteri di filtro prese per HTTP, HTTPS e FTP dalle configurazioni dei prodotti filtro Internet.

  In particolare, per il contenuto HTTPS, l'ASA invia la ricerca dell'URL senza informazioni sulla directory e il nome del file. Quando il server filtro approva una richiesta di connessione HTTPS, l'ASA consente il completamento della negoziazione della connessione SSL e permette alla risposta dal server Web di raggiungere il client di origine. Se il server filtro rifiuta la richiesta, l'ASA impedisce il completamento della negoziazione della connessione SSL. Nel browser viene visualizzato un messaggio di errore, ad esempio The Page (La pagina), oppure non è possibile visualizzare il contenuto.

  Il filtro URL è configurato usando i comandi CLI globali url-server e filter.

  Il filtro URL può essere utilizzato per ridurre le vulnerabilità descritte in questo documento filtrando le richieste HTTP o HTTPS che contengono .rtf o .pub nel relativo campo URI.

  Per ulteriori informazioni, vedere la sezione relativa al filtro degli URL HTTPS nella guida alla configurazione di Cisco ASA e alla configurazione del filtro URL nella Cisco Support Community.

  Mitigazione: servizi firewall di nuova generazione

  A partire dal software Cisco ASA versione 8.4(5) per Cisco ASA 5585-X con ASA CX SSP-10 e -20; dal software Cisco ASA versione 9.1 per Cisco ASA 5512-X, ASA 5515-X, ASA 5525-X, ASA 5545-X e ASA 5555-X; e dal software Cisco ASA versione 9.1(3) per Cisco ASA 5585-X con ASA SSP I servizi Cisco ASA Next-Generation Firewall (NGFW) versione -40 e -60 consentono a un amministratore di monitorare o applicare policy in base all'identità dell'utente (who), all'applicazione o al sito Web a cui l'utente sta tentando di accedere (what), all'origine del tentativo di accesso (where), all'ora del tentativo di accesso (when) e alle proprietà del dispositivo utilizzato per l'accesso (how).

  I servizi NGFW vengono eseguiti in un modulo hardware (SSP per ASA5585-X) o software (ASA 5512-X, ASA 5515-X, ASA 5525-X, ASA 5545-X, ASA 5555-X) separato. L'ASA inoltra il traffico (utilizzando i criteri MPF) al modulo NGFW, che controlla e/o applica i criteri come configurato. Le policy NGFW possono essere configurate usando l'interfaccia utente grafica di Cisco Prime Security Manager (PRSM) in modalità dispositivo singolo o multiplo. Diverse applicazioni possono essere riconosciute e utilizzate come parte del servizio Application Visibility and Control (AVC) su NGFW. Il riconoscimento delle applicazioni viene continuamente aggiornato tramite aggiornamenti di firme e motori. Analogamente, il servizio Web Security Essentials (WSE) può ispezionare le funzionalità Web e soddisfare le richieste e intervenire in base a esse. È inoltre possibile utilizzare criteri di reputazione Web per filtrare il traffico in base alla reputazione delle destinazioni visitate.

  Cisco NGFW può essere usato per ridurre i valori di MS14-017, MS14-019 e MS14-020 filtrando i seguenti elementi:

  • destinazioni URL con reputazione bassa
  • file con tipi di file .rtf o .pub

  Le policy di monitoraggio e filtro (AVC e WSE) possono essere applicate anche al traffico TLS crittografato.

  Per ulteriori informazioni sulle applicazioni supportate, vedere ASA NGFW Services Applications Portal. Per ulteriori informazioni sulla configurazione dell'ASA, vedere la sezione Configurazione del modulo ASA CX nella guida alla configurazione di Cisco ASA. Per ulteriori informazioni sulla configurazione di ASA CX, consultare la Guida per l'utente di ASA CX e Cisco Prime Security Manager.

  Cisco ACE

  Attenuazione: ispezione del protocollo dell'applicazione

  L'ispezione del protocollo dell'applicazione è disponibile per Cisco ACE Application Control Engine Appliance e modulo. Questa funzionalità di sicurezza avanzata esegue l'ispezione approfondita dei pacchetti del traffico che attraversa il dispositivo Cisco ACE. Gli amministratori possono creare un criterio di ispezione per le applicazioni che richiedono una gestione speciale tramite la configurazione delle mappe delle classi di ispezione e delle mappe dei criteri di ispezione, che vengono applicate tramite un criterio globale o di servizio di interfaccia.

  Per ulteriori informazioni sull'ispezione del protocollo dell'applicazione, vedere la sezione Configurazione dell'ispezione del protocollo dell'applicazione nella Security Guide vA5(1.0), Cisco ACE Application Control Engine.

  Ispezione approfondita pacchetti HTTP

  Per eseguire l'ispezione approfondita dei pacchetti HTTP per MS14-017 e MS14-020, gli amministratori possono configurare le espressioni regolari (regex) per la corrispondenza dei pattern e costruire mappe di classi di ispezione e mappe di criteri di ispezione. Questi metodi possono contribuire a proteggere il sistema da vulnerabilità specifiche, ad esempio quella descritta in questo documento, e da altre minacce che possono essere associate al traffico HTTP. La seguente configurazione di ispezione del protocollo applicativo HTTP controlla il traffico sulle porte TCP 80, 3128, 8000, 8010, 8080, 8888 e 24326, che sono le porte predefinite per la variabile Cisco IPS #WEBPORTS.

  Attenzione: i regex configurati possono corrispondere a stringhe di testo in qualsiasi posizione nel contenuto di un pacchetto HTML. Occorre fare attenzione a non compromettere le applicazioni aziendali legittime che utilizzano stringhe di testo corrispondenti.

   ! !-- Configure an HTTP application inspection class that looks !-- for HTTP packets that contain either of the .rtf or !-- .pub file extensions that are typically used to exploit !-- the vulnerabilities associated with MS14-017 and MS14-020 ! 
  class-map type http inspect match-any MS14_class
    2 match content ".*.+\x2e[Rr][Tt][Ff].*"
    3 match content ".*.+\x2e[Pp][Uu][Bb].*" 
  ! !-- The "?" in the above regexes must be escaped with !-- [CTRL-v].   
  ! !-- Configure an HTTP application inspection policy that !-- identifies, resets, and logs connections that contain !-- the regexes that are configured above !
  policy-map type inspect http all-match MS_Apr_2014
    class MS14_class
      reset log  
  ! !-- Configure an access list that matches TCP packets !-- that are destined to the #WEBPORTS variable that is !-- used by a Cisco IPS device !
  access-list WEBPORTS line 8 extended permit tcp any any eq www 
  access-list WEBPORTS line 16 extended permit tcp any any eq 3128 
  access-list WEBPORTS line 24 extended permit tcp any any eq 8000 
  access-list WEBPORTS line 32 extended permit tcp any any eq 8010 
  access-list WEBPORTS line 40 extended permit tcp any any eq 8080 
  access-list WEBPORTS line 48 extended permit tcp any any eq 8888 
  access-list WEBPORTS line 56 extended permit tcp any any eq 24326 
  ! !-- Configure a Layer 4 class that uses the above-configured !-- access list to match TCP packets that are destined !-- to the ports that are used by the Cisco IPS #WEBPORTS !-- variable !
  class-map match-all L4_http_class
    match access-list WEBPORTS
  ! !-- Configure a Layer 4 policy that applies the HTTP application !-- inspection policy configured above to TCP packets that !-- are destined to the ports that are used by the Cisco IPS !-- #WEBPORTS variable !
  policy-map multi-match L4_MS_Apr_2014
    class L4_http_class
      inspect http policy MS_Apr_2014  
  ! !-- Apply the configuration globally across all interfaces, !-- which results in the inspection of all traffic that enters !-- the ACE ! service-policy input L4_MS_Apr_2014

  Per informazioni su come utilizzare ACE CLI per misurare l'efficacia dell'ispezione delle applicazioni, fare riferimento al white paper Cisco Security Intelligence Operations Identification of Malicious Traffic Using Cisco ACE.

  Cisco Intrusion Prevention System

  Attenuazione: azioni evento firma Cisco IPS

  Gli amministratori possono utilizzare gli accessori e i moduli servizi IPS Cisco per rilevare le minacce e contribuire a prevenire i tentativi di sfruttare alcune delle vulnerabilità descritte più avanti nel documento. Nella tabella seguente viene fornita una panoramica degli identificatori CVE e delle rispettive firme IPS Cisco che attiveranno eventi su potenziali tentativi di sfruttare queste vulnerabilità.

  ID CVE	Release della firma	Signature ID	Nome firma	Attivato	Gravità	Fedeltà*
  CVE-2014-1761	S780	1709/0	Vulnerabilità nell'esecuzione di codice arbitrario durante l'elaborazione di documenti RTF di Microsoft Office Word	Sì	Alta	85
  CVE-2014-1751	S784	4109/0	Esecuzione codice remoto di Microsoft Internet Explorer	Sì	Alta	85
  CVE-2014-1752	S784	4108/0	Utilizzo di Microsoft Internet Explorer dopo la disponibilità	Sì	Alta	85
  CVE-2014-1753	S784	4136/0	Utilizzo di Microsoft Internet Explorer dopo la disponibilità	Sì	Alta	85
  CVE-2014-1755	S784	4137/0	Vulnerabilità danneggiamento memoria di Microsoft Internet Explorer	Sì	Alta	85

  * Fidelity è anche noto come Signature Fidelity Rating (SFR) ed è la misura relativa della precisione della firma (predefinito). Il valore è compreso tra 0 e 100 ed è impostato da Cisco Systems, Inc.

  Gli amministratori possono configurare i sensori Cisco IPS in modo da eseguire un'azione evento quando viene rilevato un attacco. L'azione evento configurata esegue controlli preventivi o deterrenti per contribuire alla protezione da un attacco che tenta di sfruttare le vulnerabilità elencate nella tabella precedente.

  I sensori Cisco IPS sono più efficaci se installati in modalità di protezione inline combinata con l'uso di un'azione evento. La funzione di prevenzione automatica delle minacce per i sensori Cisco IPS 7.x e 6.x implementati in modalità di protezione inline fornisce la prevenzione delle minacce contro gli attacchi che tentano di sfruttare le vulnerabilità descritte in questo documento. La prevenzione delle minacce viene ottenuta tramite un override predefinito che esegue un'azione evento per le firme attivate con un valore riskRatingValue maggiore di 90.

  Per ulteriori informazioni sul calcolo del rating di rischio e della minaccia, fare riferimento a Rating di rischio e Rating di minaccia: Semplificare la gestione delle policy IPS.

  Per informazioni sull'utilizzo di Cisco Security Manager per visualizzare l'attività da un sensore Cisco IPS, vedere il white paper Identificazione del traffico dannoso con Cisco Security Manager.

  Informazioni sulla firma Sourcefire

  Le seguenti firme Sourcefire Snort sono disponibili per l'aggiornamento della protezione di Microsoft aprile 2014.

  ID bollettino Microsoft	Regole applicabili
  MS14-017	1:24974
  MS14-017	1:24975
  MS14-018	1:30497
  MS14-018	1:30498
  MS14-018	1:30499
  MS14-018	1:30500
  MS14-018	1:30501
  MS14-018	1:30502
  MS14-020	1:30508
  MS14-020	1:30509

  Cisco Web and Email Security

  Riduzione dei rischi: Web Security

  Cisco Web Security Appliance (WSA) è in grado di filtrare e proteggere le reti aziendali da malware e programmi spyware basati sul Web che possono compromettere la sicurezza aziendale ed esporre la proprietà intellettuale. Operano come proxy e possono fornire policy basate su utenti e gruppi che filtrano determinate categorie di URL, contenuti Web, controllo e visibilità delle applicazioni Web (AVC, Web Application Visibility and Control), siti Web basati sulla reputazione Web e malware. WSA può anche rilevare client infetti e impedire ad attività dannose di andare al di fuori della rete aziendale usando L4 Traffic Monitor (L4TM). I criteri possono essere configurati utilizzando un'interfaccia grafica Web. Può essere usata anche una CLI. WSA include la protezione per i protocolli di comunicazione standard, quali HTTP, HTTPS, FTP e SOCKS.

  Per il funzionamento con dispositivi di rete quali router e firewall, WSA utilizza il protocollo WCCP (Web Cache Communication Protocol). Con WCCP, le richieste di contenuti vengono reindirizzate in modo trasparente al WSA, che agisce in base alla sua configurazione. Gli utenti non devono configurare un proxy Web nei loro browser. In Cisco IOS, il protocollo WCCP è abilitato con i comandi ip wcp e nell'appliance Cisco ASA con i comandi wcp.

  Cisco WSA può essere utilizzato per mitigare MS14-017, MS14-019 e MS14-020 filtrando il traffico Web in base a quanto segue:

  • destinazioni URL con reputazione bassa
  • tipi di file .rtf o .pub
  • .rtf o .pub file dannosi

  Per ulteriori informazioni, vedere il documento ASA: WCCP Step-by-Step Configuration in Cisco Support Community e il manuale Cisco AsyncOS Web User Guide (PDF).

  Attenuazione: sicurezza e-mail

  Cisco Email Security Appliance (ESA) elimina spam e virus e applica la policy aziendale, proteggendo il perimetro della rete. Funzionano come gateway SMTP, noto anche come Mail Exchanger o MX. Possono filtrare virus, spam e phishing. Forniscono inoltre crittografia e-mail, filtro messaggi, servizi antispam, servizi antivirus e altro ancora.

  Cisco ESA può essere utilizzato per mitigare MS14-017 e MS14-020 filtrando i messaggi in base a un tipo di allegato .rtf o .pub.

  Le operazioni filtro consentono di eliminare, far rimbalzare, archiviare, copiare o alterare i messaggi in modo che risultino al buio.

  I filtri possono inoltre generare notifiche.

  Per ulteriori informazioni, vedere la guida alla configurazione e-mail di Cisco AsyncOS (PDF).

  Cisco Cloud Web Security

  Attenuazione: Cloud Web Security

  Cisco Cloud Web Security (CWS) analizza tutte le richieste e le risposte Web per determinare se il contenuto è dannoso, inappropriato o accettabile in base ai criteri di sicurezza definiti. Ciò offre una protezione efficace contro le minacce, incluse le minacce zero-day che altrimenti avrebbero successo. Cisco CWS può fornire policy basate su utenti e gruppi che filtrano determinate categorie di URL, contenuti Web, file e tipi di file, applicazioni Web (AVC), siti Web basati sulla reputazione Web e malware. Può ispezionare sia il traffico HTTP che HTTPS.

  A partire da Cisco IOS 15.2MT su router ISR-G2 e software Cisco ASA versione 9.0, Cisco CWS può integrarsi in modo trasparente con Cisco IOS e Cisco ASA. Inoltre, a partire da AnyConnect 3.0, CWS può essere implementato con il client AnyConnect. CWS può essere implementato anche sugli host terminali come applicazione Cisco Cloud Connector.

  Cisco CWS può essere utilizzato per ridurre i valori di MS14-017, MS14-019 e MS14-020 filtrando il traffico Web in base a quanto segue:

  • destinazioni URL con reputazione bassa
  • tipi di file .rtf e .pub
  • .rtf o .pub file dannosi

  Per gli esempi di configurazione, vedere i documenti ASA: Configurazione dettagliata ScanSafe e IOS: Configurazione dettagliata ScanSafe nella Cisco Support Community. Per ulteriori informazioni sulla configurazione di Cisco IOS e ASA, vedere Cisco Cloud Web Security e la sezione Configuration Cisco Cloud Web Security della guida alla configurazione di Cisco ASA. Per ulteriori informazioni sul portale CWS, vedere la Guida dell'amministratore di Cisco ScanCenter.

Ulteriori informazioni

• IL PRESENTE DOCUMENTO VIENE FORNITO "COSÌ COM'È" E NON IMPLICA ALCUNA GARANZIA O CONCESSIONE, INCLUSE LE GARANZIA DI COMMERCIABILITÀ O IDONEITÀ PER UNO SCOPO SPECIFICO. L'UTILIZZO DA PARTE DELL'UTENTE DELLE INFORMAZIONI CONTENUTE NEL DOCUMENTO O NEI MATERIALI ACCESSIBILI DAL DOCUMENTO AVVIENE A PROPRIO RISCHIO. CISCO SI RISERVA IL DIRITTO DI MODIFICARE O AGGIORNARE IL PRESENTE DOCUMENTO IN QUALSIASI MOMENTO.

Cronologia delle revisioni

• Version	Descrizione	Sezione	Data
  1	Release iniziale		2014-aprile-08 17:17 GMT

  Mostra meno

Procedure di sicurezza di Cisco

• Le informazioni complete sulla segnalazione delle vulnerabilità della sicurezza nei prodotti Cisco, su come ottenere assistenza in caso di incidenti relativi alla sicurezza e su come registrarsi per ricevere informazioni sulla sicurezza da Cisco, sono disponibili sul sito Web di Cisco all'indirizzo https://sec.cloudapps.cisco.com/security/center/resources/security_vulnerability_policy.html. Ciò include istruzioni per le richieste della stampa relative agli avvisi di sicurezza Cisco. Tutti gli avvisi sulla sicurezza Cisco sono disponibili all'indirizzo http://www.cisco.com/go/psirt.

Informazioni correlate

• • Riepilogo del bollettino Microsoft sulla sicurezza per aprile 2014
  • Bollettini sulla mitigazione applicata da Cisco
  • Operazioni Cisco Security Intelligence
  • Guida Cisco per fortificare i dispositivi Cisco IOS
  • White paper su Cisco Network Foundation Protection
  • Presentazioni di Cisco Network Foundation Protection
  • Un approccio orientato alla sicurezza per l'indirizzamento IP
  • Prodotti Cisco Firewall - Home Page su Cisco.com
  • Cisco Catalyst serie 6500 ASA Services Module
  • Cisco serie 5500-X
  • Cisco ASA-CX
  • Documentazione del modulo Cisco ACE Application Control Engine
  • Cisco Intrusion Prevention System
  • Download di firme IPS Cisco
  • Pagina di ricerca delle firme IPS Cisco
  • Sourcefire Sicurezza Di Nuova Generazione
  • Regole snort Sourcefire IPS
  • Cisco Security Manager
  • Cisco Web Security Appliance (PDF)
  • Cisco Email Security Appliance (PDF)
  • Guida a Cisco Cloud Web Security
  • Vulnerabilità ed esposizioni comuni (CVE)
  • Iscriviti ai bollettini sulla mitigazione applicata di Cisco

Prodotti interessati

• La vulnerabilità della sicurezza si applica alle seguenti combinazioni di prodotti.
  
  

  Prodotti principali
  Microsoft, Inc.	Internet Explorer	6.0 (base) | 7,0 (base) | 8,0 (base) | 9,0 (base) | 11,0 (base)
  	Microsoft Office Publisher	2003 (SP3) | 2007 (SP3)
  	Ufficio	2007 (SP3) | 2010 (SP1, SP2)
  	Office Compatibility Pack	SP3 (base)
  	Office per Mac	2011 (base)
  	Windows 7	per sistemi a 32 bit (SP1) | per sistemi x64 (SP1)
  	Windows 8	per sistemi a 32 bit (base) | per sistemi x64 (base)
  	Windows 8.1	per sistemi a 32 bit (base) | per sistemi x64 (base)
  	Windows RT	Versione originale (base) | 8.1 (Base)
  	Windows Server 2003	Datacenter Edition (SP2) | Datacenter Edition, 64 bit (Itanium) (SP2) | Datacenter Edition x64 (AMD/EM64T) (SP2) | Edizione Enterprise (SP2) | Enterprise Edition, 64 bit (Itanium) (SP2) | Enterprise Edition x64 (AMD/EM64T) (SP2) | Standard Edition (SP2) | Standard Edition, 64 bit (Itanium) (SP2) | Standard Edition x64 (AMD/EM64T) (SP2) | Edizione Web (SP2)
  	Windows Server 2008	Datacenter Edition (SP2) | Datacenter Edition, 64 bit (SP2) | Itanium-Based Systems Edition (SP2) | Edizione Enterprise (SP2) | Enterprise Edition, 64 bit (SP2) | Essential Business Server Standard (SP2) | Essential Business Server Premium (SP2) | Essential Business Server Premium, 64 bit (SP2) | Standard Edition (SP2) | Standard Edition, 64 bit (SP2) Server Web | (SP2) | Server Web, 64 bit (SP2)
  	Windows Server 2008 R2	x64-Based Systems Edition (SP1) | Itanium-Based Systems Edition (SP1)
  	Windows Server 2012	Versione originale (base)
  	Windows Server 2012 R2	Versione originale (base)
  	Windows Vista	Home Basic (SP2) | Home Premium (SP2) | Imprese (SP2) | Imprese (SP2) | Ultimate (SP2) | Home Basic x64 Edition (SP2) | Home Premium x64 Edition (SP2) | Business x64 Edition (SP2) | Enterprise x64 Edition (SP2) | Ultimate x64 Edition (SP2)
  	Word	2003 (Base, SP1, SP2, SP3) | 2007 (Base, SP1, SP2, SP3) | 2010 (Edizione a 32 bit, Edizione a 64 bit, SP1, SP2) | 2013 (base, RT, edizioni a 32 bit, edizioni a 64 bit)
  	Visualizzatore di Word	Versione originale (base)
  	Office Web Apps	2010 (Base, SP1, SP2) | 2013 (Base)

  
  
  

  Prodotti associati
  Microsoft, Inc.	Ufficio	2003 (Base, SP1, SP2, SP3) | 2007 (Base, SP1, SP2) | 2010 (Base) | 2013 (edizioni a 32 bit, edizioni a 64 bit) | 2013 RT (Base)
  	Windows 7	per sistemi a 32 bit | per sistemi x64
  	Windows 8.1	per sistemi a 32 bit | per sistemi x64
  	Windows RT	8.1
  	Windows Server 2003	Datacenter Edition | Datacenter Edition, 64 bit (Itanium) | Datacenter Edition x64 (AMD/EM64T) | Edizione Enterprise | Enterprise Edition, 64 bit (Itanium) | Enterprise Edition x64 (AMD/EM64T) | Standard | Standard Edition, 64 bit (Itanium) | Standard Edition x64 (AMD/EM64T) | Web Edition
  	Windows Server 2008	Datacenter Edition | Datacenter Edition, 64 bit | Itanium-Based Systems Edition | Edizione Enterprise | Enterprise Edition, 64 bit | Server aziendale essenziale standard | Essential Business Server Premium | Essential Business Server Premium, a 64 bit | Standard | Standard Edition, 64 bit Server Web | | Server Web, 64 bit
  	Windows Server 2008 R2	x64-Based Systems Edition | Itanium-Based Systems Edition
  	Windows Server 2012 R2	Release originale
  	Windows Vista	Home Basic | Home Premium | Imprese | Imprese | Ultimate | Home Basic edizione x64 | Home Premium edizione x64 | Business x64 Edition | Edizione Enterprise x64 | Ultimate x64 Edition