Microsoft Security Bulletin MS09-061 - Crítica

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Os aplicativos Microsoft .NET que não são mal-intencionados não correm risco de serem comprometidos por esta vulnerabilidade. Somente aplicativos criados de uma maneira especificamente mal-intencionada podem explorar esta vulnerabilidade.
• Em um cenário de hospedagem na Web, um invasor precisa ter permissão para carregar páginas ASP.NET arbitrárias em um site e o ASP.NET precisa estar instalado nesse servidor da Web. Na configuração padrão, um usuário anônimo não pode carregar e executar código do Microsoft .NET em um Servidor de informações da Internet (IIS).
• Por padrão, o Internet Explorer no Windows Server 2003 e no Windows Server 2008 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Este modo atenua esta vulnerabilidade somente em um cenário de ataque baseado na Web. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O Internet Explorer 8 desabilita o Filtro MIME do Microsoft .NET na zona da Internet. Este recurso do Internet Explorer 8 dificulta a exploração bem-sucedida desta vulnerabilidade por bloquear uma técnica conhecida de ignorar a proteção ASLR e DEP. Desabilitar o Filtro MIME do Microsoft .NET na zona da Internet não impossibilita a exploração desta vulnerabilidade no Internet Explorer 8, mas dificulta sua exploração por sites mal-intencionados.
• Em um cenário de ataque na navegação pela Web, o invasor pode hospedar um site que contenha uma página da Web usada para explorar esta vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios pode conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, um invasor tem que persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou em uma mensagem do Instant Messenger que leva o usuário ao site do invasor.
• O invasor que explorar com êxito esta vulnerabilidade poderá obter os mesmos direitos que o usuário local ou que a conta de usuário do ASP.NET. Usuários ou contas que estejam configurados com menos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos de usuário administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Desabilitar aplicativos Microsoft .NET parcialmente confiáveis

  Para desabilitar todos os aplicativos Microsoft .NET executados com confiança parcial, inclusive aplicativos de navegador XAML (XBAPs) e aplicativos Microsoft .NET localizados na rede, execute os seguintes comandos em um prompt de comando elevado:

  caspol –pp off
caspol –m –resetlockdown
caspol –pp on

  Observação Você precisa estar conectado como administrador ou ter credenciais administrativas para aplicar esta solução alternativa.

  Impacto da solução alternativa. Alguns aplicativos Microsoft .NET não serão executados.

  Como desfazer a solução alternativa.

  Para redefinir as diretivas de segurança do Microsoft .NET aos padrões, execute os seguintes comandos em um prompt de comando elevado:

  caspol –pp off
caspol –m –reset
caspol –pp on

  Observação Você precisa estar conectado como administrador ou ter credenciais administrativas para desfazer esta solução alternativa.

• Desabilitar aplicativos de navegador XAML no Internet Explorer

  Para ajudar a se proteger contra essa vulnerabilidade, altere as configurações para que seja solicitada uma confirmação antes da execução de aplicativos de navegador XAML ou desabilite os XBAPs na zona de segurança da Internet e da intranet local.

  1. Menu Ferramentas e, em seguida, selecione Opções da Internet.
  2. Guia Segurança, clique em Internet e, em seguida, em Nível Personalizado.
  3. Configurações, para XAML flexível, clique em Solicitar ou em Desabilitar e, em seguida, clique em OK. Repita estas etapas para aplicativos de navegador XAML e documentos XPS.
  4. Guia Segurança, clique em Nível Personalizado, em Componentes dependentes do .NET Framework, para Executar componentes não assinados com Authenticode, clique em Solicitar ou em Desabilitar e, em seguida, em OK. Repita estas etapas para Executar componentes assinados com Authenticode e, em seguida, clique em OK.
  5. Internet Local e em Nível Personalizado. Repita as etapas 3 e 4. Se for solicitado que você confirme se deseja alterar essas configurações, clique em Sim. Clique em OK para retornar ao Internet Explorer.

  Impacto da solução alternativa. O código do Microsoft .NET não será executado no Internet Explorer ou não será executado sem uma confirmação. A desabilitação dos aplicativos e componentes do Microsoft .NET nas zonas de segurança da Internet e da intranet local pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Como desfazer a solução alternativa.

  1. Menu Ferramentas e, em seguida, selecione Opções da Internet.
  2. Guia Segurança, clique em Restaurar o nível padrão de todas as zonas e, em seguida, clique em OK.

Qual é o escopo da vulnerabilidade?  
Esta vulnerabilidade é uma vulnerabilidade de execução remota de código no contexto do usuário conectado no momento ou no contexto da conta de serviço associada a uma identidade de pool de aplicativos.

O que provoca a vulnerabilidade?  
Esta vulnerabilidade resulta da maneira como o código verificável do Microsoft .NET é verificado.

O que é o CLR?  
O Microsoft .NET Framework oferece um ambiente de tempo de execução chamado CLR (Common Language Runtime), que executa o código e fornece serviços que facilitam o processo de desenvolvimento. Para obter mais informações sobre o CLR, consulte a Visão geral do Common Language Runtime.

O que é um XBAP?  
Um aplicativo de navegador XAML (XBAP) combina recursos tanto de um aplicativo da Web como de um aplicativo de cliente avançado. Como os aplicativos da Web, os XBAPs podem ser publicados em um servidor Web e iniciados no Internet Explorer. Como os aplicativos de cliente avançado, os XBAPs aproveitam os recursos do Windows Presentation Foundation (WPF). Para obter mais informações sobre XBAPs, consulte a Visão geral de aplicativos de navegador XAML do Windows Presentation Foundation.

Estou executando o Internet Explorer para Windows Server 2003 ou Windows Server 2008. Isso atenua essa vulnerabilidade?  
Sim e não. Em um cenário de ataque na navegação pela Web, executar o Internet Explorer no Windows Server 2003 ou no Windows Server 2008 atenua a vulnerabilidade, mas para os cenários de ataque de hospedagem na Web e de Aplicativo .NET, essas plataformas não atenuam a vulnerabilidade. Por padrão, o Internet Explorer no Windows Server 2003 e no Windows Server 2008 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer. Consulte também Gerenciamento de Configurações de Segurança Avançadas do Internet Explorer.

Para que um invasor pode usar a vulnerabilidade?  
O invasor que explorar com êxito esta vulnerabilidade poderá obter as mesmas permissões que o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

No cenário de hospedagem na Web, um invasor que explore com êxito esta vulnerabilidade pode obter as mesmas permissões que as da conta de serviço associada à identidade do pool de aplicativos em que um aplicativo Microsoft .NET estiver sendo executado. Dependendo da configuração de isolamento do pool de aplicativos e das permissões concedidas à conta de serviço, um invasor talvez possa assumir o controle de outros pools de aplicativos no servidor Web ou assumir o controle total do sistema afetado. Para obter mais informações sobre identidades e configuração de pools de aplicativos, consulte Configurar identidade de pool de aplicativo.

De que forma o invasor pode explorar a vulnerabilidade?  
Há três cenários possíveis para exploração desta vulnerabilidade: um cenário de navegação pela Web, um de hospedagem na Web e um de aplicativo Microsoft .NET Framework. Esses cenários são descritos a seguir.

• Cenário de navegação pela Web
  O invasor pode hospedar um site especialmente criado que contenha um XBAP (aplicativo de navegador XAML) especialmente projetado para explorar esta vulnerabilidade e, então, convencer um usuário a exibir o site. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, um invasor tem que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou por um pedido pelo Instant Messenger que leva o usuário ao site do invasor. Também é possível exibir conteúdo da Web próprio para a finalidade usando anúncios de banner ou outros métodos para implantar conteúdo da Web nos sistemas afetados.
• Cenário de hospedagem na Web
  Se um ambiente de hospedagem na Web permitir aos usuários carregar aplicativos ASP.NET personalizados, um usuário invasor poderá carregar um aplicativo ASP.NET mal-intencionado que use esta vulnerabilidade para burlar a área de segurança que impede que código ASP.NET execute ações prejudiciais no sistema de servidor.
• Cenário de aplicativo Microsoft .NET Framework
  Um invasor pode colocar um aplicativo Microsoft .NET Framework mal-intencionado em um compartilhamento de rede e convence usuários nessa rede a executar esse aplicativo.

Quais são os sistemas que mais correm riscos com a vulnerabilidade?  
Dois tipos de sistemas correm risco com esta vulnerabilidade: sistemas que usam o cenário de navegação na Web e sistemas que usam o cenário de hospedagem na Web.

• Cenário de navegação pela Web
  A exploração bem-sucedida desta vulnerabilidade requer que um usuário tenha feito logon e esteja visitando sites que usam um navegador da Web capaz de instanciar XBAPs. Portanto, quaisquer sistemas nos quais um navegador da Web seja usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade. Os servidores correm mais riscos se os administradores permitirem que os usuários procurem e leiam emails nos servidores. Entretanto, as práticas recomendadas não recomendam esse procedimento.
• Cenário de hospedagem na Web
  Sites de hospedagem na Web que permitem aos usuários carregar aplicativos ASP.NET personalizados correm maior risco.

Programei um aplicativo Microsoft .NET. Preciso recompilá-lo?  
Os aplicativos Microsoft .NET que não são mal-intencionados não correm risco de serem comprometidos por esta vulnerabilidade e não precisam ser recompilados. Somente aplicativos criados de uma maneira especificamente mal-intencionada podem explorar esta vulnerabilidade.

O que a atualização faz?  
Esta atualização modifica a maneira como o Microsoft .NET Framework verifica e impõe as regras código verificável do Microsoft .NET.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Não. A Microsoft recebeu informações sobre essa vulnerabilidade por meio de divulgação responsável.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido usada publicamente para atacar clientes e não testemunhou nenhum exemplo de publicação de código de verificação de conceito, quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Os aplicativos Microsoft .NET que não são mal-intencionados não correm risco de serem comprometidos por esta vulnerabilidade. Somente aplicativos criados de uma maneira especificamente mal-intencionada podem explorar esta vulnerabilidade.
• Em um cenário de hospedagem na Web, um invasor precisa ter permissão para carregar páginas ASP.NET arbitrárias em um site e o ASP.NET precisa estar instalado nesse servidor da Web. Na configuração padrão, um usuário anônimo não pode carregar e executar código do Microsoft .NET em um Servidor de informações da Internet (IIS).
• Por padrão, o Internet Explorer no Windows Server 2003 e no Windows Server 2008 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Este modo atenua esta vulnerabilidade somente em um cenário de ataque baseado na Web. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O Internet Explorer 8 desabilita o Filtro MIME do Microsoft .NET na zona da Internet. Este recurso do Internet Explorer 8 dificulta a exploração bem-sucedida desta vulnerabilidade por bloquear uma técnica conhecida de ignorar a proteção ASLR e DEP. Desabilitar o Filtro MIME do Microsoft .NET na zona da Internet não impossibilita a exploração desta vulnerabilidade no Internet Explorer 8, mas dificulta sua exploração por sites mal-intencionados.
• No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios pode conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, um invasor tem que persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou em uma mensagem do Instant Messenger que leva o usuário ao site do invasor.
• O invasor que explorar com êxito esta vulnerabilidade poderá obter os mesmos direitos que o usuário local ou que a conta de usuário do ASP.NET. Usuários ou contas que estejam configurados com menos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos de usuário administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Desabilitar aplicativos Microsoft .NET parcialmente confiáveis

  Para desabilitar todos os aplicativos Microsoft .NET executados com confiança parcial, inclusive aplicativos de navegador XAML (XBAPs) e aplicativos Microsoft .NET localizados na rede, execute os seguintes comandos em um prompt de comando elevado:

  caspol –pp off
caspol –m –resetlockdown
caspol –pp on

  Observação Você precisa estar conectado como administrador ou ter credenciais administrativas para aplicar esta solução alternativa.

  Impacto da solução alternativa. Alguns aplicativos Microsoft .NET não serão executados.

  Como desfazer a solução alternativa.

  Para redefinir as diretivas de segurança do Microsoft .NET aos padrões, execute os seguintes comandos em um prompt de comando elevado:

  caspol –pp off
caspol –m –reset
caspol –pp on

  Observação Você precisa estar conectado como administrador ou ter credenciais administrativas para desfazer esta solução alternativa.

• Desabilitar aplicativos de navegador XAML no Internet Explorer

  Para ajudar a se proteger contra essa vulnerabilidade, altere as configurações para que seja solicitada uma confirmação antes da execução de aplicativos de navegador XAML ou desabilite os XBAPs na zona de segurança da Internet e da intranet local.

  1. Menu Ferramentas e, em seguida, selecione Opções da Internet.
  2. Guia Segurança, clique em Internet e, em seguida, em Nível Personalizado.
  3. Configurações, para XAML flexível, clique em Solicitar ou em Desabilitar e, em seguida, clique em OK. Repita estas etapas para aplicativos de navegador XAML e documentos XPS.
  4. Guia Segurança, clique em Nível Personalizado, em Componentes dependentes do .NET Framework, para Executar componentes não assinados com Authenticode, clique em Solicitar ou em Desabilitar e, em seguida, em OK. Repita estas etapas para Executar componentes assinados com Authenticode e, em seguida, clique em OK.
  5. Internet Local e em Nível Personalizado. Repita as etapas 3 e 4. Se for solicitado que você confirme se deseja alterar essas configurações, clique em Sim. Clique em OK para retornar ao Internet Explorer.

  Impacto da solução alternativa. O código do Microsoft .NET não será executado no Internet Explorer ou não será executado sem uma confirmação. A desabilitação dos aplicativos e componentes do Microsoft .NET nas zonas de segurança da Internet e da intranet local pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Como desfazer a solução alternativa.

  1. Menu Ferramentas e, em seguida, selecione Opções da Internet.
  2. Guia Segurança, clique em Restaurar o nível padrão de todas as zonas e, em seguida, clique em OK.

Qual é o escopo da vulnerabilidade?  
Esta vulnerabilidade é uma vulnerabilidade de execução remota de código no contexto do usuário conectado no momento ou no contexto da conta de serviço associada a uma identidade de pool de aplicativos.

O que provoca a vulnerabilidade?  
Esta vulnerabilidade resulta da maneira como o código verificável do Microsoft .NET é verificado.

O que é o CLR?  
O Microsoft .NET Framework oferece um ambiente de tempo de execução chamado CLR (Common Language Runtime), que executa o código e fornece serviços que facilitam o processo de desenvolvimento. Para obter mais informações sobre o CLR, consulte a Visão geral do Common Language Runtime.

O que é um XBAP?  
Um aplicativo de navegador XAML (XBAP) combina recursos tanto de um aplicativo da Web como de um aplicativo de cliente avançado. Como os aplicativos da Web, os XBAPs podem ser publicados em um servidor Web e iniciados no Internet Explorer. Como os aplicativos de cliente avançado, os XBAPs aproveitam os recursos do Windows Presentation Foundation (WPF). Para obter mais informações sobre XBAPs, consulte a Visão geral de aplicativos de navegador XAML do Windows Presentation Foundation.

Estou executando o Internet Explorer para Windows Server 2003 ou Windows Server 2008. Isso atenua essa vulnerabilidade?  
Sim e não. No cenário de ataque na navegação pela Web, executar o Internet Explorer no Windows Server 2003 ou no Windows Server 2008 atenua a vulnerabilidade, mas para os cenários de ataque de hospedagem na Web e de aplicativo Microsoft .NET, essas plataformas não atenuam a vulnerabilidade. Por padrão, o Internet Explorer no Windows Server 2003 e no Windows Server 2008 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer. Consulte também Gerenciamento de Configurações de Segurança Avançadas do Internet Explorer.

Para que um invasor pode usar a vulnerabilidade?  
O invasor que explorar com êxito esta vulnerabilidade poderá obter as mesmas permissões que o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

No cenário de hospedagem na Web, um invasor que explore com êxito esta vulnerabilidade pode obter as mesmas permissões que as da conta de serviço associada à identidade do pool de aplicativos em que um aplicativo Microsoft .NET estiver sendo executado. Dependendo da configuração de isolamento do pool de aplicativos e das permissões concedidas à conta de serviço, um invasor talvez possa assumir o controle de outros pools de aplicativos no servidor Web ou assumir o controle total do sistema afetado. Para obter mais informações sobre identidades e configuração de pools de aplicativos, consulte Configurar identidade de pool de aplicativo.

De que forma o invasor pode explorar a vulnerabilidade?  
Há três cenários possíveis para exploração desta vulnerabilidade: um cenário de navegação pela Web, um de hospedagem na Web e um de aplicativo Microsoft .NET Framework. Esses cenários são descritos a seguir.

• Cenário de navegação pela Web
  O invasor pode hospedar um site especialmente criado que contenha um XBAP (aplicativo de navegador XAML) especialmente projetado para explorar esta vulnerabilidade e, então, convencer um usuário a exibir o site. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, um invasor tem que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou por um pedido pelo Instant Messenger que leva o usuário ao site do invasor. Também é possível exibir conteúdo da Web próprio para a finalidade usando anúncios de banner ou outros métodos para implantar conteúdo da Web nos sistemas afetados.
• Cenário de hospedagem na Web
  Se um ambiente de hospedagem na Web permitir aos usuários carregar aplicativos ASP.NET personalizados, um usuário invasor poderá carregar um aplicativo ASP.NET mal-intencionado que use esta vulnerabilidade para burlar a área de segurança que impede que código ASP.NET execute ações prejudiciais no sistema de servidor.
• Cenário de aplicativo Microsoft .NET Framework
  Um invasor pode colocar um aplicativo Microsoft .NET Framework mal-intencionado em um compartilhamento de rede e convence usuários nessa rede a executar esse aplicativo.

Quais são os sistemas que mais correm riscos com a vulnerabilidade?  
Dois tipos de sistemas correm risco com esta vulnerabilidade: sistemas que usam o cenário de navegação na Web e sistemas que usam o cenário de hospedagem na Web.

• Cenário de navegação pela Web
  A exploração bem-sucedida desta vulnerabilidade requer que um usuário tenha feito logon e esteja visitando sites que usam um navegador da Web capaz de instanciar XBAPs. Portanto, quaisquer sistemas nos quais um navegador da Web seja usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade. Os servidores correm mais riscos se os administradores permitirem que os usuários procurem e leiam emails nos servidores. Entretanto, as práticas recomendadas não recomendam esse procedimento.
• Cenário de hospedagem na Web
  Sites de hospedagem na Web que permitem aos usuários carregar aplicativos ASP.NET personalizados correm maior risco.

Programei um aplicativo Microsoft .NET. Preciso recompilá-lo?  
Os aplicativos Microsoft .NET que não são mal-intencionados não correm risco de serem comprometidos por esta vulnerabilidade e não precisam ser recompilados. Somente aplicativos criados de uma maneira especificamente mal-intencionada podem explorar esta vulnerabilidade.

O que a atualização faz?  
Esta atualização modifica a maneira como o Microsoft .NET Framework verifica e impõe as regras código verificável do Microsoft .NET.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Não. A Microsoft recebeu informações sobre essa vulnerabilidade por meio de divulgação responsável.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido usada publicamente para atacar clientes e não testemunhou nenhum exemplo de publicação de código de verificação de conceito, quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• A versão atual do Microsoft Silverlight, Silverlight 3, não é afetada por esta vulnerabilidade. Por padrão, o Silverlight verifica periodicamente um site da Microsoft para obter atualizações e proporcionar a você os mais recentes recursos e aprimoramentos. Se houver uma versão mais nova disponível, ela será baixada e instalada no computador. A maioria dos sistemas já estará executando uma versão do Silverlight 3. Para obter mais informações, consulte Microsoft Silverlight Updater.
• Os aplicativos Microsoft .NET que não são mal-intencionados não correm risco de serem comprometidos por esta vulnerabilidade. Somente aplicativos criados de uma maneira especificamente mal-intencionada podem explorar esta vulnerabilidade.
• Em um cenário de hospedagem na Web, um invasor precisa ter permissão para carregar páginas ASP.NET arbitrárias em um site e o ASP.NET precisa estar instalado nesse servidor da Web. Na configuração padrão, um usuário anônimo não pode carregar e executar código do Microsoft .NET em um Servidor de informações da Internet (IIS).
• Por padrão, o Internet Explorer no Windows Server 2003 e no Windows Server 2008 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Este modo atenua esta vulnerabilidade somente em um cenário de ataque baseado na Web. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O Internet Explorer 8 desabilita o Filtro MIME do Microsoft .NET na zona da Internet. Esse recurso do Internet Explorer 8 dificulta a exploração bem-sucedida desta vulnerabilidade no Internet Explorer 8 por bloquear uma técnica conhecida de ignorar a proteção ASLR e DEP. Isto não impossibilita a exploração desta vulnerabilidade no Internet Explorer 8, mas dificulta sua exploração por sites mal-intencionados.
• No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios pode conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, um invasor tem que persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou em uma mensagem do Instant Messenger que leva o usuário ao site do invasor.
• O invasor que explorar com êxito esta vulnerabilidade poderá obter os mesmos direitos que o usuário local ou que a conta de usuário do ASP.NET. Usuários ou contas que estejam configurados com menos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos de usuário administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Desabilitar aplicativos Microsoft .NET parcialmente confiáveis

  Para desabilitar todos os aplicativos Microsoft .NET executados com confiança parcial, inclusive XBAPs e aplicativos Microsoft .NET localizados na rede, execute os seguintes comandos em um prompt de comando elevado:

  caspol –pp off
caspol –m –resetlockdown
caspol –pp on

  Observação Você precisa estar conectado como administrador ou ter credenciais administrativas para aplicar esta solução alternativa.

  Impacto da solução alternativa. Alguns aplicativos Microsoft .NET não serão executados.

  Como desfazer a solução alternativa.

  Para redefinir as diretivas de segurança do Microsoft .NET aos padrões, execute os seguintes comandos em um prompt de comando elevado:

  caspol –pp off
caspol –m –reset
caspol –pp on

  Observação Você precisa estar conectado como administrador ou ter credenciais administrativas para desfazer esta solução alternativa.

• Desabilitar aplicativos de navegador XAML no Internet Explorer

  Para ajudar a se proteger contra essa vulnerabilidade, altere as configurações para que seja solicitada uma confirmação antes da execução de aplicativos de navegador XAML ou desabilite os aplicativos de navegador XAML na zona de segurança da Internet e da intranet local.

  1. Menu Ferramentas e, em seguida, selecione Opções da Internet.
  2. Guia Segurança, clique em Internet e, em seguida, em Nível Personalizado.
  3. Configurações, para XAML flexível, clique em Solicitar ou em Desabilitar e, em seguida, clique em OK. Repita estas etapas para aplicativos de navegador XAML e documentos XPS.
  4. Guia Segurança, clique em Nível Personalizado, em Componentes dependentes do .NET Framework, para Executar componentes não assinados com Authenticode, clique em Solicitar ou em Desabilitar e, em seguida, em OK. Repita estas etapas para Executar componentes assinados com Authenticode e, em seguida, clique em OK.
  5. Internet Local e em Nível Personalizado. Repita as etapas 3 e 4. Se for solicitado que você confirme se deseja alterar essas configurações, clique em Sim. Clique em OK para retornar ao Internet Explorer.

  Impacto da solução alternativa. O código do Microsoft .NET não será executado no Internet Explorer ou não será executado sem uma confirmação. A desabilitação dos aplicativos e componentes do Microsoft .NET nas zonas de segurança da Internet e da intranet local pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Como desfazer a solução alternativa.

  1. Menu Ferramentas e, em seguida, selecione Opções da Internet.
  2. Guia Segurança, clique em Restaurar o nível padrão de todas as zonas e, em seguida, clique em OK.
• Desativar temporariamente a execução do controle ActiveX Microsoft Silverlight no Internet Explorer no Windows XP Service Pack 2 ou posterior

  Você pode ajudar a se proteger contra essas vulnerabilidades, desabilitando temporariamente a execução do controle ActiveX do Silverlight no Internet Explorer. O recurso Gerenciar Complementos do Internet Explorer pode ser usado para desativar o controle ActiveX.

  1. menu Ferramentas e, em seguida, selecione Gerenciar Complementos.
  2. Microsoft Silverlight.
  3. Clique em Desabilitar e, em seguida, clique em OK.

  Observação Se você não conseguir localizar o controle ActiveX, use a caixa suspensa para mudar de “Complementos usados no momento no Internet Explorer” para “Complementos que foram utilizados pelo Internet Explorer”, ou de “Complementos carregados” para “Todos os complementos”, e siga as etapas 2 e 3. Se o controle ActiveX constar dessa lista, ou você não usou o controle ActiveX ou ele não está presente em seu sistema.

  Observação Esta solução alternativa se destina somente a sistemas em que o Silverlight já está instalado, e não pode ser usada proativamente em sistemas onde o Silverlight ainda não está instalado.

  Para obter mais informações sobre o recurso Gerenciar Complementos do Internet Explorer no Windows XP Service Pack 2, consulte o Artigo 883256 (em inglês) da Microsoft Knowledge Base.

  Impacto da solução alternativa. Os aplicativos e sites que exigem o controle ActiveX Microsoft Silverlight podem não mais funcionar corretamente. Se você implementar essa solução alternativa, ela afetará qualquer controle ActiveX do Silverlight instalado em seu sistema.

  Como desfazer a solução alternativa.

  1. menu Ferramentas e, em seguida, selecione Gerenciar Complementos.
  2. Microsoft Silverlight, clique em Ativar e, em seguida, em OK.
• Impedir temporariamente que o controle ActiveX do Microsoft Silverlight seja executado no Internet Explorer

  Você pode ajudar a se proteger destas vulnerabilidades impedindo temporariamente as tentativas de instanciar o controle ActiveX do Silverlight no Internet Explorer, definindo o kill bit do controle.

  Aviso O uso incorreto do Editor do Registro pode causar problemas graves e exigir a reinstalação do sistema operacional. A Microsoft não garante a solução de problemas resultantes do uso incorreto do Editor do Registro. Você é responsável pelo uso do Editor do Registro.

  Recomendamos fazer backup do Registro antes de editá-lo.

  Use o texto a seguir para criar um arquivo .reg que impeça temporariamente as tentativas de instanciar o controle ActiveX do Silverlight no Internet Explorer. Você pode copiar o texto seguinte, colá-lo em um editor de texto, como o Bloco de Notas, e salvar o arquivo com a extensão de nome do arquivo .reg. Execute o arquivo .reg no cliente vulnerável.

  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{DFEAF541-F3E1-4C24-ACAC-99C30715084A}]

  Feche o Internet Explorer e reabra-o para que as alterações tenham efeito.

  Para obter as etapas detalhadas sobre como impedir que um controle seja executado no Internet Explorer, consulte o artigo 240797 (em inglês) da Microsoft Knowledge Base. Siga as etapas e crie um valor de Sinalizadores de Compatibilidade no Registro para impedir que o controle ActiveX do Silverlight seja executado no Internet Explorer.

  Impacto da solução alternativa. Os aplicativos e sites que exigem o controle ActiveX Microsoft Silverlight podem não mais funcionar corretamente. Se você implementar essa solução alternativa, ela afetará qualquer controle ActiveX do Silverlight instalado em seu sistema.

  Como desfazer a solução alternativa. Remova as chaves do Registro adicionadas para impedir temporariamente as tentativas de instanciar o controle ActiveX do Silverlight no Internet Explorer.

Qual é o escopo da vulnerabilidade?  
Esta vulnerabilidade é uma vulnerabilidade de execução remota de código no contexto do usuário conectado no momento ou no contexto da conta de serviço associada a uma identidade de pool de aplicativos.

O que provoca a vulnerabilidade?  
Esta vulnerabilidade resulta da maneira como o Microsoft .NET Common Language Runtime (CLR) manipula interfaces.

O que é o CLR?  
O Microsoft .NET Framework oferece um ambiente de tempo de execução chamado CLR (Common Language Runtime), que executa o código e fornece serviços que facilitam o processo de desenvolvimento. Para obter mais informações sobre o CLR, consulte a Visão geral do Common Language Runtime.

O que é um XBAP?  
Um aplicativo de navegador XAML (XBAP) combina recursos tanto de um aplicativo da Web como de um aplicativo de cliente avançado. Como os aplicativos da Web, os XBAPs podem ser publicados em um servidor Web e iniciados no Internet Explorer. Como os aplicativos de cliente avançado, os XBAPs aproveitam os recursos do Windows Presentation Foundation (WPF). Para obter mais informações sobre XBAPs, consulte a Visão geral de aplicativos de navegador XAML do Windows Presentation Foundation.

O que é o Silverlight?  
O Microsoft Silverlight é uma implementação do Microsoft .NET Framework para diversos navegadores e plataformas para criação de experiências de mídia e aplicativos interativos avançados para a Web. Para obter mais informações, consulte o site oficial do Silverlight.

Para que um invasor pode usar a vulnerabilidade?  
O invasor que explorar com êxito esta vulnerabilidade poderá obter as mesmas permissões que o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

No cenário de hospedagem na Web, um invasor que explore com êxito esta vulnerabilidade pode obter as mesmas permissões que as da conta de serviço associada à identidade do pool de aplicativos em que um aplicativo Microsoft .NET estiver sendo executado. Dependendo da configuração de isolamento do pool de aplicativos e das permissões concedidas à conta de serviço, um invasor talvez possa assumir o controle de outros pools de aplicativos no servidor Web ou assumir o controle total do sistema afetado. Para obter mais informações sobre identidades e configuração de pools de aplicativos, consulte Configurar identidade de pool de aplicativo.

De que forma o invasor pode explorar a vulnerabilidade?  
Há três cenários possíveis para exploração desta vulnerabilidade: um cenário de navegação pela Web, um de hospedagem na Web e um de aplicativo Microsoft .NET Framework. Esses cenários são descritos a seguir.

• Cenário de navegação pela Web
  O invasor pode hospedar um site especialmente criado que contenha um XBAP (aplicativo de navegador XAML) ou um aplicativo Silverlight especialmente projetado para explorar esta vulnerabilidade e, então, convencer um usuário a exibir o site. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, um invasor tem que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou por um pedido pelo Instant Messenger que leva o usuário ao site do invasor. Também é possível exibir conteúdo da Web próprio para a finalidade usando anúncios de banner ou outros métodos para implantar conteúdo da Web nos sistemas afetados.
• Cenário de hospedagem na Web
  Se um ambiente de hospedagem na Web permitir aos usuários carregar aplicativos ASP.NET personalizados, um invasor poderá carregar um aplicativo ASP.NET mal-intencionado que use esta vulnerabilidade para burlar a área de segurança que impede que código ASP.NET execute ações prejudiciais no sistema de servidor.
• Cenário de aplicativo Microsoft .NET Framework
  Um invasor pode colocar um aplicativo Microsoft .NET Framework mal-intencionado em um compartilhamento de rede e convence usuários nessa rede a executar esse aplicativo.

Quais são os sistemas que mais correm riscos com a vulnerabilidade?  
Dois tipos de sistemas correm risco com esta vulnerabilidade: sistemas que usam o cenário de navegação na Web e sistemas que usam o cenário de hospedagem na Web.

• Cenário de navegação pela Web
  A exploração bem-sucedida desta vulnerabilidade requer que um usuário tenha feito logon e esteja visitando sites que usam um navegador da Web capaz de instanciar XBAPs ou aplicativos Silverlight. Portanto, quaisquer sistemas nos quais um navegador da Web seja usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade. Os servidores correm mais riscos se os administradores permitirem que os usuários procurem e leiam emails nos servidores. Entretanto, as práticas recomendadas não recomendam esse procedimento.
• Cenário de hospedagem na Web
  Sites de hospedagem na Web que permitem aos usuários carregar aplicativos ASP.NET personalizados correm maior risco.

Estou executando o Internet Explorer no Windows Server 2003 ou no Windows Server 2008. Isso atenua essa vulnerabilidade?  
Sim e não. No cenário de ataque na navegação pela Web, executar o Internet Explorer no Windows Server 2003 ou no Windows Server 2008 atenua a vulnerabilidade, mas para os cenários de ataque de hospedagem na Web e de aplicativo Microsoft .NET, essas plataformas não atenuam a vulnerabilidade. Por padrão, o Internet Explorer no Windows Server 2003 e no Windows Server 2008 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer. Consulte também Gerenciamento de Configurações de Segurança Avançadas do Internet Explorer.

Programei um aplicativo Microsoft .NET ou Silverlight. Preciso recompilá-lo?  
Os aplicativos Microsoft .NET e Silverlight que não são mal-intencionados não correm risco de serem comprometidos por esta vulnerabilidade e não precisam ser recompilados. Somente aplicativos criados de uma maneira especificamente mal-intencionada podem explorar esta vulnerabilidade.

O que a atualização faz?  
Esta atualização modifica a maneira como o Microsoft .NET CLR manipula interfaces.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Sim. Essa vulnerabilidade foi divulgada publicamente. Ela recebeu o número CVE-2009-2497 da lista Common Vulnerability and Exposure.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido usada publicamente para atacar clientes e não testemunhou nenhum exemplo de publicação de código de verificação de conceito, quando este boletim de segurança foi lançado pela primeira vez.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Observação Para versões com suporte do Windows XP Professional x64 Edition, esta atualização de segurança é igual à atualização de segurança das versões com suporte do Windows Server 2003 x64 Edition.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.