Alert GCSA-08046 - MS08-027 Vulnerabilita' in Microsoft Publisher

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

          Alert ID : GCSA-08046
              Data : 14 maggio 2008
            Titolo : MS08-027 Vulnerabilita' in Microsoft Publisher (951208)

******************************************************************


:: Descrizione del problema

   E' stata individuata una vulnerabilita' in Microsoft Office
   Publisher che potrebbe essere sfruttata da un attaccante remoto per
   causare condizioni di denial of service o prendere il completo
   controllo di un sistema vulnerabile. La vulnerabilita' e' causata da
   un errore presente nel modulo di convalida dei dati
   dell'intestazione di un oggetto e puo' essere sfruttata inviando un
   file Publisher appositamente predisposto che potrebbe essere
   contenuto in un allegato di posta elettronica o ospitato su un sito
   Web appositamente predisposto o manomesso.

   Se un utente e' connesso con privilegi di amministrazione, un utente
   malintenzionato che sfrutti questa vulnerabilita' puo' assumere il
   controllo completo del sistema interessato. Potrebbe quindi
   installare programmi e visualizzare, modificare o eliminare dati
   oppure creare nuovi account con diritti utente completi. Pertanto,
   gli utenti con account configurati in modo da disporre solo di
   diritti limitati sono esposti all'attacco in misura inferiore
   rispetto a quelli che operano con privilegi di amministrazione.


:: Software interessato

   Microsoft Office 2000
   Microsoft Office 2003 Professional Edition
   Microsoft Office 2003 Small Business Edition
   Microsoft Office 2003 Standard Edition
   Microsoft Office 2003 Student and Teacher Edition
   Microsoft Office 2007
   Microsoft Office Publisher 2003
   Microsoft Office Publisher 2007
   Microsoft Office XP
   Microsoft Publisher 2000
   Microsoft Publisher 2002
   Microsoft Publisher 2003


:: Impatto

   Esecuzione di codice arbitrario
   Acesso al sistema


:: Soluzioni

   Installare manualmente la patch elencata nel bollettino Microsoft,
   oppure utilizzare uno degli strumenti di aggiornamento come:
   Aggiornamenti Automatici, Windows Update, Microsoft Update,
   Windows Server Update Services.


:: Riferimenti

Bollettino Microsoft sulla sicurezza MS08-027:
   http://www.microsoft.com/technet/security/Bulletin/MS08-027.mspx

SecurityFocus:
   http://www.securityfocus.com/bid/29158

Secunia:
   http://secunia.com/advisories/30150/

FrSirt:
   http://www.frsirt.com/english/advisories/2008/1505

CVE Mitre:
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0119


-----BEGIN PGP SIGNATURE-----

iQCVAwUBSCrnv/OB+SpikaiRAQI6MwQAzG9FKddV9vXQCDAdRHrru7JYqRpJh9E/
wQmgioxqsnSAeJno6GbDglHZ+/mZXHkL3X1vqA+IxjngVxau4gYImmzLDvIguGSl
Q0G/MylGU4Fy6Or6XIkckYzjuW5FcAGcwRHBCsLZCuH57g/LpCv6t2CkZMjse3D6
brVFBTQZ6Xw=
=AFl6
-----END PGP SIGNATURE-----