Microsoft Security Bulletin MS12-066 - Importante
Vulnerabilidade de limpeza de HTML pode permitir a elevação de privilégios (2741517)
Publicado: | Atualizado:
Versão: 1.3
Informações Gerais
Sinopse
Esta atualização de segurança resolve uma vulnerabilidade publicamente divulgada no Microsoft Office, Plataformas de Comunicações Microsoft, softwares de servidor da Microsoft e Microsoft Office Web Apps. A vulnerabilidade pode permitir a elevação de privilégios se um invasor enviar conteúdo especialmente criado para um usuário.
Esta atualização de segurança é classificada como Importante para edições com suporte do Microsoft InfoPath 2007, Microsoft InfoPath 2010, Microsoft Communicator 2007 R2, Microsoft Lync 2010, Microsoft Lync 2010 Attendee, Microsoft SharePoint Server 2007, Microsoft SharePoint Server 2010, Microsoft Groove Server 2010, Microsoft SharePoint Windows Services 3.0, Microsoft SharePoint Foundation 2010 e Microsoft Office Web Apps 2010. Para obter mais informações, consulte a subseção Softwares afetados e não afetados, nesta seção.
A atualização de segurança elimina a vulnerabilidade, modificando a maneira como as strings de HTML são desinfetadas. Para obter mais informações sobre a vulnerabilidade, consulte a subseção Perguntas frequentes na próxima seção, Informações da vulnerabilidade.
Recomendação. Os clientes podem configurar a atualização automática para procurar atualizações online do Microsoft Update, usando o serviço Microsoft Update. Os clientes com a atualização automática habilitada e configurada para procurar atualizações online a partir do Microsoft Update geralmente não precisarão tomar nenhuma providência porque esta atualização de segurança será baixada e instalada automaticamente. Os clientes que não têm o recurso de atualizações automáticas habilitado precisarão verificar as atualizações do Microsoft Update e instalar esta atualização manualmente. Para obter informações sobre opções de configuração específicas na atualização automática em edições com suporte do Windows XP e Windows Server 2003, consulte o Artigo 294871 (em inglês) da Microsoft Knowledge Base. Para obter informações sobre a atualização automática nas edições com suporte do Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2, consulte Understanding Windows automatic updating.
Para instalações feitas por administradores ou empresas, ou por usuários finais que desejam instalar esta atualização de segurança manualmente, a Microsoft recomenda que os clientes apliquem a atualização assim que possível usando software de gerenciamento de atualização ou verificando se há atualizações no serviço Microsoft Update.
Consulte também a seção Orientação e ferramentas de detecção e implantação mais adiante neste boletim.
Problemas conhecidos. O artigo 2741517 (em inglês) da Microsoft Knowledge Base documenta os problemas atualmente conhecidos que os clientes podem enfrentar ao instalar esta atualização de segurança. O artigo também documenta as soluções recomendadas para esses problemas. Quando problemas atualmente conhecidos e soluções recomendadas pertencem somente a lançamentos específicos deste software, este artigo fornece links para outros artigos.
Softwares afetados e não afetados
Os softwares a seguir foram testados para determinar quais versões ou edições foram afetadas. O ciclo de vida do suporte das outras versões ou edições já terminou ou elas não são afetadas. Para determinar o ciclo de vida do suporte para sua versão ou edição de software, visite o site Ciclo de vida do suporte Microsoft.
Softwares afetados
Microsoft Office
| Software | Impacto máximo à segurança | Avaliação de gravidade agregada | Atualizações substituídas |
|---|---|---|---|
| Microsoft InfoPath 2007 Service Pack 2 (KB2687439) Microsoft InfoPath 2007 Service Pack 2 (KB2687440) | Elevação de privilégio | Importante | KB2596666 no MS12-050 substituído por KB2687439 KB2596786 no MS12-050 substituído por KB2687440 |
| Microsoft InfoPath 2007 Service Pack 3 (KB2687439) Microsoft InfoPath 2007 Service Pack 3 (KB2687440) | Elevação de privilégio | Importante | KB2596666 no MS12-050 substituído por KB2687439 KB2596786 no MS12-050 substituído por KB2687440 |
| Microsoft InfoPath 2010 Service Pack 1 (edições de 32 bits) (KB2687436) Microsoft InfoPath 2010 Service Pack 1 (edições de 32 bits) (KB2687417) | Elevação de privilégio | Importante | KB2596666 no MS12-050 substituído por KB2687439 KB2596786 no MS12-050 substituído por KB2687440 |
| Microsoft InfoPath 2010 Service Pack 1 (edições de 64 bits) (KB2687436) Microsoft InfoPath 2010 Service Pack 1 (edições de 64 bits) (KB2687417) | Elevação de privilégio | Importante | KB2596666 no MS12-050 substituído por KB2687439 KB2596786 no MS12-050 substituído por KB2687440 |
Software e Plataformas do Microsoft Communications
| Software | Impacto máximo à segurança | Avaliação de gravidade agregada | Atualizações substituídas |
|---|---|---|---|
| Microsoft Communicator 2007 R2 (KB2726391) | Divulgação não autorizada de informação | Importante | KB2708980 no MS12-039 substituído por KB2726391 |
| Microsoft Lync 2010 (32 bits) (KB2726382) | Divulgação não autorizada de informação | Importante | KB2708980 no MS12-039 substituído por KB2726391 |
| Microsoft Lync 2010 (64 bits) (KB2726382) | Divulgação não autorizada de informação | Importante | KB2708980 no MS12-039 substituído por KB2726391 |
| Microsoft Lync 2010 Attendee (instalação de nível administrativo) (KB2726388) Microsoft Lync 2010 Attendee[1] (instalação de nível usuário) (KB2726384) | Divulgação não autorizada de informação | Importante | KB2708980 no MS12-039 substituído por KB2726391 KB2693283 no MS12-039 substituído por KB2726384 |
[1]Esta atualização está disponível somente no Centro de Download da Microsoft.
Microsoft Server Software
| Software | Pacote de atualização | Impacto máximo à segurança | Avaliação de gravidade agregada | Atualizações substituídas |
|---|---|---|---|---|
| Microsoft SharePoint Server | ||||
| Microsoft SharePoint Server 2007 Service Pack 2 (edições de 32 bits) | Microsoft SharePoint Server 2007 Service Pack 2 (coreserver) (edições de 32 bits)[1] (KB2687405) | Elevação de privilégio | Importante | KB2596663 no MS12-050 substituído por KB2687405 |
| Microsoft SharePoint Server 2007 Service Pack 3 (edições de 32 bits) | Microsoft SharePoint Server 2007 Service Pack 3 (coreserver) (edições de 32 bits)[1] (KB2687405) | Elevação de privilégio | Importante | KB2596663 no MS12-050 substituído por KB2687405 |
| Microsoft SharePoint Server 2007 Service Pack 2 (edições de 64 bits) | Microsoft SharePoint Server 2007 Service Pack 2 (coreserver) (edições de 64 bits)[1] (KB2687405) | Elevação de privilégio | Importante | KB2596663 no MS12-050 substituído por KB2687405 |
| Microsoft SharePoint Server 2007 Service Pack 3 (edições de 64 bits) | Microsoft SharePoint Server 2007 Service Pack 3 (coreserver) (edições de 64 bits)[1] (KB2687405) | Elevação de privilégio | Importante | KB2596663 no MS12-050 substituído por KB2687405 |
| Microsoft SharePoint Server 2010 Service Pack 1 | Microsoft SharePoint Server 2010 Service Pack 1 (wosrv) (KB2687435) Microsoft SharePoint Server 2010 Service Pack 1 (coreserver) (KB2589280) | Elevação de privilégio | Importante | KB2553424 no MS12-050 substituído por KB2687435 KB2553194 no MS12-050 substituído por KB2589280 |
| Microsoft Groove Server | ||||
| Microsoft Groove Server 2010 Service Pack 1 (KB2687402) | Não Aplicável | Elevação de privilégio | Importante | KB2589325 no MS12-050 substituído por KB2687402 |
| Windows SharePoint Services e Microsoft SharePoint Foundation | ||||
| Microsoft Windows SharePoint Services 3.0 Service Pack 2 (versão de 32 bits) (KB2687356) | Não Aplicável | Elevação de privilégio | Importante | KB2596911 no MS12-050 substituído por KB2687356 |
| Microsoft Windows SharePoint Services 3.0 Service Pack 3 (versão de 32 bits) (KB2687356) | Não Aplicável | Elevação de privilégio | Importante | Nenhuma |
| Microsoft Windows SharePoint Services 3.0 Service Pack 2 (versões de 64 bits) (KB2687356) | Não Aplicável | Elevação de privilégio | Importante | KB2596911 no MS12-050 substituído por KB2687356 |
| Microsoft Windows SharePoint Services 3.0 Service Pack 3 (versão de 64 bits) (KB2687356) | Não Aplicável | Elevação de privilégio | Importante | Nenhuma |
| Microsoft SharePoint Foundation 2010 Service Pack 1 (KB2687434) | Não Aplicável | Elevação de privilégio | Importante | KB2553365 no MS12-050 substituído por KB2687434 |
[1]Para edições com suporte do Microsoft SharePoint Server 2007, além do pacote de atualização de segurança para o Microsoft SharePoint 2007 (KB2687405), os clientes também precisam instalar a atualização de segurança para Microsoft Windows SharePoint Services 3.0 (KB2687356) para ficarem protegidos contra a vulnerabilidade descrita neste boletim.
Microsoft Office Web Apps
| Software | Componente | Impacto máximo à segurança | Avaliação de gravidade agregada | Atualizações substituídas |
|---|---|---|---|---|
| Microsoft Office Web Apps 2010 Service Pack 1 (KB2687401) | Não Aplicável | Elevação de privilégio | Importante | KB2598239 no MS12-050 substituído por KB2687401 |
Softwares não afetados
| Office e outros softwares |
|---|
| Microsoft Communicator 2005 |
| Microsoft Communicator 2005 Web Access |
| Microsoft Communicator 2007 |
| Microsoft Communicator 2007 Web Access |
| Microsoft Communications Server 2007 |
| Microsoft Communications Server 2007 Speech Server |
| Microsoft Communications Server 2007 R2 |
| Microsoft Communicator 2007 R2 Attendant |
| Microsoft Communicator 2007 R2 Group Chat Admin |
| Microsoft Communicator 2007 R2 Group Chat Client |
| Microsoft Live Meeting 2007 Console |
| Microsoft Communicator for Mac 2011 |
| Microsoft Communicator Mobile |
| Microsoft Communicator Phone Edition |
| Microsoft Lync Server 2010 |
| Microsoft Lync 2010 Attendant (32 bits) |
| Microsoft Lync 2010 Attendant (64 bits) |
| Microsoft Lync 2010 Group Chat |
| Microsoft Lync Server 2010 Group Chat Software Development Kit |
| Microsoft Lync for Mac 2011 |
| Microsoft Groove 2007 Service Pack 2 |
| Microsoft Groove 2007 Service Pack 3 |
| Microsoft Groove Server 2007 Service Pack 2 |
| Microsoft Groove Server 2007 Service Pack 3 |
| Microsoft InfoPath 2003 Service Pack 3 |
| Microsoft Live Communications Server 2003 |
| Microsoft Live Communications Server 2005 Service Pack 1 |
| Microsoft SharePoint Portal Server 2003 Service Pack 3 (edições de 32 bits) |
| Microsoft SharePoint Portal Server 2003 Service Pack 3 (edições de 64 bits) |
| Microsoft Speech Server 2004 |
| Microsoft Speech Server 2004 R2 |
| Microsoft Windows SharePoint Services 2.0 (edições de 32 bits) |
| Microsoft Windows SharePoint Services 2.0 (edições de 64 bits) |
| Microsoft SharePoint Workspace 2010 Service Pack 1 (edições de 32 bits) |
| Microsoft SharePoint Workspace 2010 Service Pack 1 (edições de 64 bits) |
Perguntas frequentes relacionadas a esta atualização de segurança
Informações sobre a vulnerabilidade
Classificação de gravidade e Identificadores de vulnerabilidade
Vulnerabilidade de sanitização de HTML - CVE-2012-2520
Informações da atualização
Orientação e ferramentas de detecção e implantação
Implantação de atualização de segurança
Outras informações
Agradecimentos
A Microsoft agradece às pessoas mencionadas abaixo por trabalhar conosco para ajudar a proteger os clientes:
- Drew Hintz, da Equipe de segurança do Google, por reportar a Vulnerabilidade de limpeza de HTML (CVE-2012-2520)
Microsoft Active Protections Program (MAPP)
Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes do lançamento de cada atualização de segurança mensal. Assim, os fornecedores de software de segurança podem usar essas informações sobre vulnerabilidades para fornecer proteções atualizadas aos clientes por meio de seus softwares ou dispositivos de segurança, como antivírus, sistemas de detecção de invasões baseados em rede ou sistemas de prevenção de invasões baseados em host. Para determinar se os fornecedores de software de segurança estão disponibilizando proteções ativas, visite os sites de proteções ativas fornecidos pelos parceiros do programa, listados em Parceiros do Microsoft Active Protections Program (MAPP).
Suporte
Como obter ajuda e suporte para esta atualização de segurança
- Ajude a instalar atualizações: Suporte para Microsoft Update
- Soluções de segurança para profissionais de TI: Solução de problemas e suporte de segurança TechNet
- Ajuda a proteger seu computador Windows de vírus e malware: Central de segurança e solução contra vírus
- Suporte local de acordo com seu país: Suporte internacional
Aviso de isenção de responsabilidade
As informações fornecidas na Microsoft Knowledge Base são apresentadas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comercialização e adequação a um propósito específico. Em hipótese alguma a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, danos por lucros cessantes ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido alertados da possibilidade dos referidos danos. Como alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou indiretos, a limitação acima pode não ser aplicável a você.
Revisões
- V1.0 (9 de outubro de 2012): Boletim publicado.
- V1.1 (10 de outubro de 2012): Corrigidos os números da KB do Microsoft Lync 2010 Attendee (instalação de nível administrativo) e do Microsoft Lync 2010 Attendee (instalação de nível usuário). Esta é apenas uma alteração informativa. Os clientes que já atualizaram seus sistemas com êxito não precisam fazer mais nada.
- V1.2 (17 de outubro de 2012) Corrigidas as informações de substituição de atualização. Corrigidos os números da KB do Microsoft Lync 2010 Attendee (instalação de nível administrativo) e do Microsoft Lync 2010 Attendee (instalação de nível usuário). Elas são alterações para fins informativos apenas. Os clientes que já atualizaram seus sistemas com êxito não precisam fazer mais nada.
- V1.3 (23 de outubro de 2012): Adicionados o Microsoft Windows SharePoint Services 3.0 Service Pack 3 (32 bits) e o Microsoft Windows SharePoint Services 3.0 Service Pack 3 (64 bits) à seção Softwares afetados. Esta é apenas uma alteração do boletim. Não houve alterações à lógica de detecção nem aos arquivos de atualização de segurança.