Microsoft Security Bulletin MS12-062 - Importante

Vulnerabilidade no System Center Operations Manager pode permitir a elevação de privilégio (2741528)

Publicado: terça-feira, 11 de setembro de 2012 | Atualizado: terça-feira, 13 de novembro de 2012

Versão: 1.2

Informações Gerais

Sinopse

Esta atualização de segurança resolve uma vulnerabilidade em particular relatada no Microsoft System Center Configuration Manager. A vulnerabilidade pode permitir o aumento de privilégio se um usuário visitar um website afetado por meio de uma URL especialmente criada. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor teria que persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um e-mail ou mensagem do Instant Messenger que leva o usuário ao site do invasor.

Esta atualização de segurança é classificada como importante para todas as versões do Microsoft Systems Management Server 2003 e Microsoft System Center Configuration Manager 2007 com suporte. Para obter mais informações, consulte a subseção Software afetado e não afetado nesta seção.

A atualização de segurança aborda a vulnerabilidade, modificando a maneira como o System Center Configuration Manager manuseia solicitações especialmente criadas. Para obter mais informações sobre a vulnerabilidade, consulte a subseção Perguntas frequentes relacionada à entrada da vulnerabilidade específica presente na próxima seção, Informações sobre a vulnerabilidade.

Recomendação. A Microsoft recomenda que os clientes instalem a atualização o mais rápido possível.

Problemas conhecidos. O artigo 2741528 (em inglês) da Microsoft Knowledge Base documenta os problemas atualmente conhecidos que os clientes podem enfrentar ao instalar esta atualização de segurança. O artigo também documenta as soluções recomendadas para esses problemas. Quando problemas atualmente conhecidos e soluções recomendadas pertencem somente a lançamentos específicos deste software, este artigo fornece links para outros artigos.

Softwares afetados e não afetados

Os softwares a seguir foram testados para determinar quais versões ou edições foram afetadas. O ciclo de vida do suporte das outras versões ou edições já terminou ou elas não são afetadas. Para determinar o ciclo de vida do suporte para sua versão ou edição de software, visite o site Ciclo de vida do suporte Microsoft.

Softwares afetados

Software	Impacto máximo à segurança	Avaliação de gravidade agregada	Atualizações substituídas
Microsoft Systems Management Server 2003 Service Pack 3^[1] (KB2733631)	Elevação de privilégio	Importante	Nenhuma
Microsoft System Center Configuration Manager 2007 Service Pack 2^[1] (KB2721642)	Elevação de privilégio	Importante	Nenhuma

^[1]Esta atualização está disponível somente no Centro de Download da Microsoft.

Softwares não afetados

Software
Microsoft System Center 2012 Configuration Manager

Perguntas frequentes relacionadas a esta atualização de segurança

Por que este boletim foi revisado em 13 de novembro de 2012?
A Microsoft revisou este boletim para relançar a atualização KB2721642 do System Center Configuration Manager 2007 para abordar um problema em que, se um cliente teve uma ou mais versões localizadas instaladas, e então instalou a atualização KB2721642, a atualização substituiu os arquivos originais localizados de recurso das versões localizadas por arquivos em inglês.

Já instalei com êxito a atualização KB2721642 original. Preciso aplicar os pacotes de atualização KB2721642 relançados em 13 de novembro de 2012?
Se você instalou a versão original em EN (inglês) da atualização KB2721642 e não instalou nenhuma versão localizada da atualização, não deverá realizar nenhuma ação. O cenário de atualização não se aplica a você.

Se você instalou uma ou mais versões localizadas da atualização KB2721642, deverá reinstalar as atualizações apropriadas localizadas atualizadas, porque os pacotes originais localizados de atualização continham arquivos incorretos em inglês de recurso em vez dos arquivos localizados adequados.

Se você já não instalou a atualização KB2721642, deve instalar os pacotes atualizados apropriados.

Onde estão os detalhes das informações sobre o arquivo?
Consulte as tabelas de referência na seção Implantação de atualização de segurança para o local dos detalhes de informações sobre o arquivo.

On de estão os hashes das atualizações de segurança?
Os hashes SHA1 e SHA2 das atualizações de segurança podem ser usados para verificar a autenticidade de pacotes de atualização de segurança baixados. Para informações sobre hashes pertencentes a esta atualização, consulte artigo 2741528 (em inglês) da Microsoft Knowledge Base.

A vulnerabilidade descrita neste boletim afeta as instalações do System Center Configuration Manager 2007 R2 e R3 e as do Systems Management Server 2003 R2?
Sim. Os sistemas que estiverem executando o System Center Configuration Manager 2007 R2 ou R3 serão afetados com a mesma classificação de gravidade dos sistemas que estiverem executando o System Center Configuration Manager 2007 Service Pack 2. Os sistemas que estiverem executando o Systems Management Server 2003 R2 serão afetados com a mesma classificação de gravidade dos sistemas que estiverem executando o Systems Management Server 2003 Service Pack 3. Os clientes devem aplicar o pacote de atualização de segurança apropriado, KB2733631 ou KB2721642, para o software.

Observação o System Center Configuration Manager 2007 R2 pode ser instalado no System Center Configuration Manager 2007 Service Pack 1. O suporte ao System Center Configuration Manager 2007 Service Pack 1 foi descontinuado. Os clientes devem estar usando o System Center Configuration Manager 2007 Service Pack 2 para instalar o pacote de atualização KB2721642.

Observação o Systems Management Server 2003 R2 pode ser instalado no Systems Management Server 2003 Service Pack 2. O suporte ao Systems Management Server 2003 Service Pack 2 foi descontinuado. Os clientes devem estar usando o Systems Management Server 2003 Service Pack 3 para instalar o pacote de atualização KB2733631.

Quais funções do servidor requerem essas atualizações? Elas devem ser instaladas em Pontos de distribuição de ramificação?
A atualização KB2733631 do Systems Management Server 2003 Service Pack 3 e a atualização KB2721642 do System Center Configuration Manager 2007 Service Pack 2 são atualizações do lado do servidor e devem ser aplicadas a todos servidores de local primário e secundário. Essas atualizações não aplicam a consoles de administrador, clientes nem a Pontos de distribuição de ramificação (BDP).

Uso uma versão mais antiga do software discutido neste boletim de segurança. O que devo fazer?
Os softwares afetados listados neste boletim foram testados para determinar que versões são afetadas. Outras versões passaram seu ciclo de vida de suporte. Para obter mais informações sobre o ciclo de vida do produto, visite o site Ciclo de vida do suporte Microsoft.

Os clientes que possuem versões anteriores do software devem priorizar a migração para as versões com suporte, a fim de evitar uma possível exposição a vulnerabilidades. Para determinar o ciclo de vida do suporte para sua versão de software, consulte Selecione um Produto para Obter Informações do Ciclo de Vida. Para obter mais informações sobre service packs para essas versões de software, consulte Política de Suporte do Ciclo de Vida do Service Pack.

Os clientes que precisarem de suporte adicional para software mais antigo deverão entrar em contato com o representante da equipe de contas da Microsoft, o gerente técnico da conta ou o representante do parceiro Microsoft apropriado para obter opções de suporte personalizadas. Os clientes sem um contrato Alliance, Premier ou Authorized podem entrar em contato com o escritório de vendas local da Microsoft. Para obter informações de contato, visite o site de Informações internacionais da Microsoft, selecione o país na lista de informações de contato e, em seguida, clique em Ir para ver uma lista de telefones. Ao ligar, peça para falar com o gerente de vendas local de Suporte Premier. Para obter mais informações, consulte as Perguntas Frequentes sobre a Política do Ciclo de Vida do Suporte da Microsoft.

Informações sobre a vulnerabilidade

Classificação de gravidade e Identificadores de vulnerabilidade

A Classificação de gravidade de vulnerabilidade e Impacto máximo de segurança por software afetado
Softwares afetados	Vulnerabilidade de XSS refletida - CVE-2012-2536	Avaliação de gravidade agregada
Microsoft Systems Management Server 2003 Service Pack 3	Importante Elevação de privilégio	Importante
Microsoft System Center Configuration Manager 2007 Service Pack 2	Importante Elevação de privilégio	Importante

Vulnerabilidade de XSS refletida - CVE-2012-2536

Existe uma vulnerabilidade no scripting entre sites (XSS) no System Center Configuration Manager em que um código pode ser injetado de volta ao usuário na página resultante, permitindo efetivamente que um código controlado por invasor seja executado no contexto do usuário que clica em um link.

Para exibir esta vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2012-2536.

Fatores atenuantes para Vulnerabilidade de XSS refletida - CVE-2012-2536

Soluções alternativas para Vulnerabilidade de XSS refletida - CVE-2012-2536

Perguntas frequentes sobre Vulnerabilidade de XSS refletida - CVE-2012-2536

Qual é o escopo da vulnerabilidade?
Esta é uma vulnerabilidade de scripts entre sites que poderia resultar na elevação de privilégio.

O que provoca a vulnerabilidade?
Esta vulnerabilidade é causada quando o System Center Configuration Manager impropriamente manipula solicitações específicas que permitem que um invasor consiga entrar no System Center Configuration Manager e execute as mesmas ações que um usuário autenticado.

O que é script entre sites?
O script entre sites (XSS) é uma classe de vulnerabilidade de segurança que pode permitir a um invasor injetar código de script na sessão do usuário com um site. A vulnerabilidade pode afetar servidores Web que geram dinamicamente páginas em HTML. Se esses servidores incorporarem entradas do navegador nas páginas dinâmicas que enviam de volta ao navegador, esses servidores poderão ser manipulados de forma a incluir conteúdo mal-intencionado nas páginas dinâmicas. Isso pode permitir a execução do script mal-intencionado. Os navegadores da Web podem perpetuar esse problema devido a seus pressupostos quanto a sites ''confiáveis'' e seu uso de cookies para manter um estado persistente com os sites que frequentam. Um ataque XXS insere novo script que pode ser executado no navegador n o contexto associado a um servidor confiável.

Para que um invasor pode usar a vulnerabilidade?
Um invasor que explorar a vulnerabilidade com êxito poderá injetar um script do lado do cliente no navegador do usuário. O script pode falsificar conteúdo, divulgar informações ou efetuar todas as ações que o usuário pode realizar no site afetado, em nome do usuário visado.

De que forma o invasor pode explorar a vulnerabilidade?
Um invasor pode explorar esta vulnerabilidade, fazendo com que um usuário visite o site afetado usando uma URL especialmente criada. Isto pode ser feito por qualquer meio que possa conter links da web URL controlados por um invasor, como um link em um e-mail, um link em um site, ou um redirecionamento em um site. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a visitar esses sites. Em vez disso, o invasor teria de persuadir os usuários a visitar o site, geralmente fazendo-os clicar em um link em um email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor por meio de uma URL especialmente criada.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?
System Center Configuration Manager Servers com usuários autorizados a acessar o System Center Configuration Manager Admin UI são as que mais correm risco.

O que a atualização faz?
Esta atualização modifica a maneira que o System Center Configuration Manager manipula solicitações específicas.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

Informações da atualização

Orientação e ferramentas de detecção e implantação

Implantação de atualização de segurança

Inclusão em Service Packs futuros	A atualização desse problema será incluída em um service pack ou conjunto de atualizações futuro.
Implantação
Instalar sem intervenção do usuário	Para Microsoft Systems Management Server 2003: SMS2003-SP3-KB2733631-X86-ENU.exe /quiet
Instalar sem reinicializar	Para Microsoft Systems Management Server 2003: SMS2003-SP3-KB2733631-X86-ENU.exe /norestart
Arquivo de log de atualização	KB2733631.log
Mais informações	Consulte a subseção Orientação e ferramentas de detecção e implantação
Requisitos de reinicialização
Reinicialização necessária?	Não. Essa atualização de segurança não requer reinicialização.
HotPatching	Não Aplicável
Informações sobre remoção	Use o item Adicionar ou Remover Programas no Painel de Controle ou o utilitário Spuninst.exe, localizado na pasta %Windir%\$NTUninstallKB2733631$\Spuninst
Informações sobre o arquivo	Consulte o Artigo 2733631 (em inglês) da Microsoft Knowledge Base
Verificação da chave do Registro	Para Microsoft Systems Management Server 2003: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Systems Management Server 2003\SP3\KB2733631

Opções de instalação da atualização de segurança para as quais há suporte
Opção	Descrição
/help	Exibe as opções de linha de comando.
Modos de instalação
/passive	Modo de instalação autônomo. Não é necessária a interação do usuário, mas o status da instalação é exibido. Se a reinicialização for necessária no fim da instalação, uma caixa de diálogo será apresentada para o usuário com um timer avisando que o computador será reiniciado em 30 segundos.
/quiet	Modo silencioso. O mesmo que modo autônomo, mas nenhuma mensagem de status ou de erro é exibida.
Opções de reinicialização
/norestart	Não reinicia quando a instalação é concluída.
/forcerestart	Reinicia o computador após a instalação e força o fechamento de outros aplicativos no desligamento sem antes salvar os arquivos abertos.
/warnrestart[:x]	Apresenta uma caixa de diálogo com um timer avisando ao usuário que o computador será reiniciado em x segundos. (A configuração padrão é 30 segundos.) Destina-se ao uso com as opções /quiet ou /passive.
/promptrestart	Exibe uma caixa de diálogo solicitando que o usuário local permita a reinicialização.
Opções especiais
/overwriteoem	Sobrescreve arquivos OEM sem notificação.
/nobackup	Não faz backup de arquivos necessários à desinstalação.
/forceappsclose	Força o encerramento de outros programas quando o computador é desligado.
/log:path	Permite o redirecionamento dos arquivos de log da instalação.
/integrate:fullpath	Integra a atualização nos arquivos-fonte do Windows. Esses arquivos se encontram no caminho especificado na opção.
/extract[:path]	Extrai os arquivos sem iniciar o programa de instalação.
/ER	Habilita o relatório de erros estendido.
/verbose	Habilita o registro extenso. Durante a instalação, crie %Windir%\CabBuild.log. Esse log detalha os arquivos copiados. Se você usar esta opção, a instalação será bem mais lenta.

Opções do Spuninst.exe para as quais existe suporte
Opção	Descrição
/help	Exibe as opções de linha de comando.
Modos de instalação
/passive	Modo de instalação autônomo. Não é necessária a interação do usuário, mas o status da instalação é exibido. Se a reinicialização for necessária no fim da instalação, uma caixa de diálogo será apresentada para o usuário com um timer avisando que o computador será reiniciado em 30 segundos.
/quiet	Modo silencioso. O mesmo que modo autônomo, mas nenhuma mensagem de status ou de erro é exibida.
Opções de reinicialização
/norestart	Não reinicia quando a instalação é concluída
/forcerestart	Reinicia o computador após a instalação e força o fechamento de outros aplicativos no desligamento sem antes salvar os arquivos abertos.
/warnrestart[:x]	Apresenta uma caixa de diálogo com um timer avisando ao usuário que o computador será reiniciado em x segundos. (A configuração padrão é 30 segundos.) Destina-se ao uso com as opções /quiet ou /passive.
/promptrestart	Exibe uma caixa de diálogo solicitando que o usuário local permita a reinicialização.
Opções especiais
/overwriteoem	Sobrescreve arquivos OEM sem notificação.
/nobackup	Não faz backup de arquivos necessários à desinstalação.
/forceappsclose	Força o encerramento de outros programas quando o computador é desligado.
/log:path	Permite o redirecionamento dos arquivos de log da instalação.
/integrate:fullpath	Integra a atualização nos arquivos-fonte do Windows. Esses arquivos se encontram no caminho especificado na opção.
/extract[:path]	Extrai os arquivos sem iniciar o programa de instalação.
/ER	Habilita o relatório de erros estendido.
/verbose	Habilita o registro extenso. Durante a instalação, crie %Windir%\CabBuild.log. Esse log detalha os arquivos copiados. Se você usar esta opção, a instalação será bem mais lenta.

Inclusão em Service Packs futuros	A atualização desse problema será incluída em um service pack ou conjunto de atualizações futuro.
Implantação
Instalar sem intervenção do usuário	Para Microsoft System Center Configuration Manager 2007: msiexec.exe /i SCCM2007-SP2-KB2721642-V2-ENU.msi /quiet /L*v KB2721642.log
Instalar sem reinicializar	Para Microsoft System Center Configuration Manager 2007: msiexec.exe /i SCCM2007-SP2-KB2721642-V2-ENU.msi /norestart /L*v KB2721642.log
Arquivo de log de atualização	KB2721642.log
Mais informações	Consulte a subseção Orientação e ferramentas de detecção e implantação
Requisitos de reinicialização
Reinicialização necessária?	Não. Essa atualização de segurança não requer reinicialização.
HotPatching	Não Aplicável
Informações sobre remoção	Use a janela Atualizações instaladas como Administrador interno ou msiexec de corrida de uma linha elevada de comando.
Informações sobre o arquivo	Consulte o Artigo 2721642 (em inglês) da Microsoft Knowledge Base
Verificação da chave do Registro	Para Microsoft System Center Configuration Manager 2007: HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Updates\System Center Configuration Manager 2007\SP2\KB2721642

Opções de instalação da atualização de segurança para as quais há suporte
Opção	Descrição
/help	Exibe as opções de linha de comando.
Modos de instalação
/passive	Modo de instalação autônomo. Não é necessária a interação do usuário, mas o status da instalação é exibido. Se a reinicialização for necessária no fim da instalação, uma caixa de diálogo será apresentada para o usuário com um timer avisando que o computador será reiniciado em 30 segundos.
/quiet or /q[n\|b\|r\|f]	Modo Silencioso; sem interação do usuário ou /q[n\|b\|r\|f] define o nível de interação do usuário: n - Nenhuma interação do usuário b - Interação básica do usuário r - Interação reduzida do usuário f - Interação total do usuário (padrão)
Opções de reinicialização
/norestart	Não reinicia quando a instalação é concluída.
/forcerestart	Reinicia o computador após a instalação e força o fechamento de outros aplicativos no desligamento sem antes salvar os arquivos abertos.
/promptrestart	Exibe uma caixa de diálogo solicitando que o usuário local permita a reinicialização.
Opções especiais
*/l[i\|w\|e\|a\|r\|u\|c\|m\|o\|p\|v\|x\|+\|!\|] <LogFile>**	Permite registrar em log. Opções: i - Mensagens de status w - Avisos não fatais e - Todas as mensagens de erro a - Inicialização de ações r - Registros específicos a ações u - Solicitações do usuário c - Parâmetros iniciais da interface de usuário m - Informações de falta de memória ou saída fatal o - Mensagens de falta de espaço em disco p - Propriedades de terminal v - Saída detalhada x - Informações de depuração extra + - Acrescentar ao arquivo de log existente ! - Liberar cada linha para o log * - Registrar todas as informações em log, exceto para as opções v e x
/log<LogFile>	Equivalente a /l* <LogFile>.

Opções do Spuninst.exe para as quais existe suporte
Opção	Descrição
/help	Exibe as opções de linha de comando.
Modos de instalação
/passive	Modo de instalação autônomo. Não é necessária a interação do usuário, mas o status da instalação é exibido. Se a reinicialização for necessária no fim da instalação, uma caixa de diálogo será apresentada para o usuário com um timer avisando que o computador será reiniciado em 30 segundos.
/quiet	Modo silencioso. O mesmo que modo autônomo, mas nenhuma mensagem de status ou de erro é exibida.
Opções de reinicialização
/norestart	Não reinicia quando a instalação é concluída
/forcerestart	Reinicia o computador após a instalação e força o fechamento de outros aplicativos no desligamento sem antes salvar os arquivos abertos.
/promptrestart	Exibe uma caixa de diálogo solicitando que o usuário local permita a reinicialização.
Opções especiais
*/l[i\|w\|e\|a\|r\|u\|c\|m\|o\|p\|v\|x\|+\|!\|] <LogFile>**	Permite registrar em log. Opções: i - Mensagens de status w - Avisos não fatais e - Todas as mensagens de erro a - Inicialização de ações r - Registros específicos a ações u - Solicitações do usuário c - Parâmetros iniciais da interface de usuário m - Informações de falta de memória ou saída fatal o - Mensagens de falta de espaço em disco p - Propriedades de terminal v - Saída detalhada x - Informações de depuração extra + - Acrescentar ao arquivo de log existente ! - Liberar cada linha para o log * - Registrar todas as informações em log, exceto para as opções v e x
/logpath	Permite o redirecionamento dos arquivos de log da instalação.

Outras informações

Agradecimentos

A Microsoft agradece às pessoas mencionadas abaixo por trabalhar conosco para ajudar a proteger os clientes:

Andy Yang da Stratsec por relatar a Vulnerabilidade de XSS refletido (CVE-2012-2536)

Microsoft Active Protections Program (MAPP)

Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes do lançamento de cada atualização de segurança mensal. Assim, os fornecedores de software de segurança podem usar essas informações sobre vulnerabilidades para fornecer proteções atualizadas aos clientes por meio de seus softwares ou dispositivos de segurança, como antivírus, sistemas de detecção de invasões baseados em rede ou sistemas de prevenção de invasões baseados em host. Para determinar se os fornecedores de software de segurança estão disponibilizando proteções ativas, visite os sites de proteções ativas fornecidos pelos parceiros do programa, listados em Parceiros do Microsoft Active Protections Program (MAPP).

Suporte

Como obter ajuda e suporte para esta atualização de segurança

Ajude a instalar atualizações: Suporte para Microsoft Update
Soluções de segurança para profissionais de TI: Solução de problemas e suporte de segurança TechNet
Ajuda a proteger seu computador Windows de vírus e malware: Central de segurança e solução contra vírus
Suporte local de acordo com seu país: Suporte internacional

Aviso de isenção de responsabilidade

As informações fornecidas na Microsoft Knowledge Base são apresentadas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comercialização e adequação a um propósito específico. Em hipótese alguma a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, danos por lucros cessantes ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido alertados da possibilidade dos referidos danos. Como alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou indiretos, a limitação acima pode não ser aplicável a você.

Revisões

V1.0 (11 de setembro de 2012): Boletim publicado.
V1.1 (12 de setembro de 2012): Removido o Microsoft System Center Configuration Manager 2007 R2 e o Microsoft System Center Configuration Manager 2007 R3 da tabela de softwares não afetados e adicionada uma Pergunta frequente que aborda o problema. Também adicionada uma Pergunta frequente de boletim que aborda as funções do servidor que requerem essa atualização. Elas são somente alterações de boletim. Não houve alterações nos arquivos de lógica de detecção nem de atualização de segurança.
V1.2 (13 de novembro de 2012): Boletim revisado para relançar a atualização KB2721642 do System Center Configuration Manager 2007. Os clientes que instalaram somente a versão do KB2721642 EN (inglês) versão da atualização não devem tomar nenhuma ação.