Alert GCSA-06088 - Vulnerabilita' in ASP.NET 2.0 (MS06-056)

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

         Alert ID : GCSA-06088
             Data : 11 Ottobre 2006
           Titolo : Vulnerabilita' in ASP.NET 2.0 (MS06-056)

******************************************************************


- -- Descrizione del problema:

E' stato rilasciato il Bollettino di Sicurezza Microsoft (MS06-056)
per risolvere una vulnerabilita' scoperta in ASP.NET 2.0


Vulnerabilita' di cross-site scripting di .NET Framework 2.0 (CVE-2006-3436)
   Si tratta di una vulnerabilita' di tipo cross-site scripting, presente
   in un   server che esegua .NET Framework 2.0, che puo' permettere ad
   un attaccante di introdurre uno script lato client nel browser
   dell'utente. Lo script potrebbe consentire l'accesso ai contenuti e
   alle informazioni personali, nonche' lo svolgimento di qualsiasi
   azione consentita all'utente nel sito Web interessato. Lo sfruttamento
   di questa vulnerabilita' richiede un'interazione con l'utente ed e'
   legato alla proprieta' AutoPostBack dei controlli ASP.NET


- -- Piattaforme interessate:

   Windows 2000 Service Pack 4
   Windows XP Home Service Pack 1
   Windows XP Home Service Pack 2
   Microsoft Windows XP Service Pack 1
   Microsoft Windows XP Service Pack 2
   Microsoft Windows XP Professional x64 Edition
   Microsoft Windows XP Tablet PC Edition
   Microsoft Windows XP Media Center Edition
   Microsoft Windows Server 2003
   Microsoft Windows Server 2003 Service Pack 1
   Microsoft Windows Server 2003 for Itanium-based Systems
   Microsoft Windows Server 2003 with SP1
     for Itanium-based Systems
   Microsoft Windows Server 2003 x64 Edition

   Componenti interessate:
     - Microsoft .NET Framework 2.0

   Componenti non interessate:
     - Microsoft .NET Framework 1.0
     - Microsoft .NET Framework 1.1


- -- Impatto:

   Information Disclosure


- -- Soluzioni:

   Applicare la patch fornita da Microsoft relativamente alla
   piattaforma impiegata.


- -- Riferimenti:

Microsoft Security Bulletin MS06-056
Vulnerability in ASP.NET 2.0 Could Allow Information Disclosure (922770)
   http://www.microsoft.com/technet/security/bulletin/ms06-056.mspx

SecurityFocus - Microsoft ASP.NET AutoPostBack Variable Cross-Site Scripting
   Vulnerability
   http://www.securityfocus.com/bid/20337

CVE Mitre:
   http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3436




-----BEGIN PGP SIGNATURE-----

iQCVAwUBRS3wG/OB+SpikaiRAQLpPwQA0j4Knw5anunTyY5xhuU0yb4F9BE1749c
abTe66+ifKRVDddKdoPHel7L1ExzSfkUhpkFbk14gQBd5tzTThQtL6kTAAH3GHL4
2b0FsBzcA3NkDHsYDsRA4F1zCAvWhP7JEWXw+VPW68bPDS5xWWex6mKdlW7AEe5Y
NspogQQeAYw=
=Riax
-----END PGP SIGNATURE-----