Microsoft Security Bulletin MS11-057 - Crítica

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Em um cenário de ataque com base na Web, o invasor pode hospedar um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site, realizando uma série de cliques em diferentes janela do Internet Explorer. O invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor ou abrindo um anexo enviado por email.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos, o que desabilita scripts e controles ActiveX, ajudando a reduzir o risco de um invasor conseguir usar essa vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O Internet Explorer 9 não é afetado por esta vulnerabilidade.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Ler emails em texto sem formatação

  Para ajudar a se proteger do vetor de ataque de email, leia as mensagens de email no formato de texto sem formatação.

  Microsoft Outlook 2003, 2007 de Microsoft Outlook e Microsoft Outlook 2010 fornecem uma opção para ler mensagens de email em formato de texto sem formatação. Para obter mais informações sobre o Ler todas as mensagens-padrão em texto sem formatação, consulte o artigo 831607 (em inglês) da Microsoft Knowledge Base.

  Os usuários do Microsoft Office Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Office Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir mensagens de email sem assinatura digital ou não criptografadas somente como texto sem formatação.

  Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o Artigo 307594 (em inglês) da Microsoft Knowledge Base.

  Para obter informações sobre essa configuração no Outlook Express 6, consulte o Artigo 291387 (em inglês) da Microsoft Knowledge Base.

  Impacto da solução alternativa. As mensagens de email exibidas em formato de texto sem formatação não conterão figuras, fontes específicas, animações nem outro conteúdo formatado. Além disso:

  • As alterações são aplicadas ao painel de visualização e a mensagens abertas.
  • As imagens passam a ser anexos para não serem perdidas.
  • Como a mensagem ainda será armazenada como Rich Text ou HTML, o modelo de objeto (soluções de código personalizado) pode comportar-se de maneira inesperada.
• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível Padrão e mova-o para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desabilitação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade?  
Essa é uma vulnerabilidade de execução remota de código. O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

O que provoca a vulnerabilidade?  
Quando o Internet Explorer tenta acessar um objeto que talvez tenha sido corrompido devido a uma condição de corrida, isso pode corromper a memória de tal maneira que o invasor possa executar código arbitrário no contexto do usuário conectado.

Para que um invasor pode usar a vulnerabilidade?  
O invasor que explorar com êxito esta vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Se um usuário tiver feito logon com direitos administrativos, o invasor que explorar com êxito essa vulnerabilidade poderá obter o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.

De que forma o invasor pode explorar a vulnerabilidade?  
Um invasor pode hospedar um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site, realizando uma série de cliques em diferentes janela do Internet Explorer. O invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor ou abrindo um anexo enviado por email.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?  
Sistemas em que o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade?  
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz?  
A atualização elimina a vulnerabilidade modificando a maneira como o Internet Explorer manipula objetos na memória.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios pode conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, o invasor teria que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou mensagem do Instant Messenger que leva o usuário ao site do invasor.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos, o que desabilita scripts e controles ActiveX, ajudando a reduzir o risco de um invasor conseguir usar essa vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível Padrão e mova-o para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desabilitação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade?  
Essa é uma vulnerabilidade de divulgação de informações. Um invasor que explora a vulnerabilidade quando o usuário exibe uma página da Web pode exibir o conteúdo do computador local ou uma janela do navegador em um domínio ou zona do Internet Explorer diferente do domínio ou zona da página da Web do invasor.

O que provoca a vulnerabilidade?  
Durante certos processos, o Internet Explorer permite incorretamente que invasores acessem e leiam conteúdo de domínios diferentes.

Para que um invasor pode usar a vulnerabilidade?  
Um invasor que explore com êxito essa vulnerabilidade pode exibir conteúdo de outro domínio ou da zona do Internet Explorer.

De que forma o invasor pode explorar a vulnerabilidade?  
O invasor pode hospedar um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, um invasor tem que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou por um pedido pelo Instant Messenger que leva o usuário ao site do invasor. Também é possível exibir conteúdo da Web próprio para a finalidade usando anúncios de banner ou outros métodos para implantar conteúdo da Web nos sistemas afetados.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?  
Esta vulnerabilidade requer que um usuário visite e execute ações em um site para que uma ação mal-intencionada ocorra. Portanto, os sistemas nos quais o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade?  
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz?  
A atualização elimina a vulnerabilidade modificando a maneira como o Internet Explorer lida com manipuladores de evento do JavaScript.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• O protocolo de compartilhamento de arquivos SMB frequentemente fica desabilitado no firewall de perímetro. Isso limita os possíveis vetores de ataque dessa vulnerabilidade.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Desabilitar o serviço WebClient

  Desabilitar o serviço WebClient ajuda a proteger sistemas afetados contra tentativas de explorar esta vulnerabilidade por meio do bloqueio, pelo serviço de cliente WebDAV, do vetor de ataque remoto mais provável. Após a aplicação desta solução alternativa, ainda é possível para invasores remotos que tenham explorado esta vulnerabilidade com sucesso fazer com que o sistema execute programas localizados no computador do usuário visado ou na rede local (LAN), mas os usuários serão solicitados a confirmar antes de abrirem programas arbitrários da Internet.

  Para desabilitar o serviço Cliente da Web, siga estas etapas:

  1. Clique em Iniciar, Executar, digite Services.msc e clique em OK.
  2. Clique com o botão direito do mouse no serviço WebClient e selecione Propriedades.
  3. Mude o tipo de inicialização para Desabilitado. Se o serviço estiver em execução, clique em Parar.
  4. Clique em OK e saia do aplicativo de gerenciamento.

  Impacto da solução alternativa. Quando o serviço WebClient estiver desabilitado, as solicitações WebDAV não serão transmitidas. Além disso, quaisquer serviços que dependam explicitamente do serviço WebClient não serão iniciados, e uma mensagem de erro será registrada no log do sistema. Por exemplo, compartilhamentos WebDAV não ficarão acessíveis a partir do computador cliente.

  Como desfazer a solução alternativa.

  Para voltar a habilitar o serviço WebClient, siga estas etapas:

  1. Clique em Iniciar, Executar, digite Services.msc e clique em OK.
  2. Clique com o botão direito do mouse no serviço WebClient e selecione Propriedades.
  3. Altere o tipo de inicialização para Automática. Se o serviço não estiver em execução, clique em Iniciar.
  4. Clique em OK e saia do aplicativo de gerenciamento.
• Bloquear as portas TCP 139 e 445 no firewall

  Essas portas são usadas para iniciar uma conexão com o componente afetado. O bloqueio das portas TCP 139 e 445 no firewall ajudará a proteger os sistemas atrás do firewall contra as tentativas de exploração dessa vulnerabilidade. A Microsoft recomenda que você bloqueie todas as comunicações de entrada não solicitadas da Internet para ajudar a impedir ataques que talvez usem outras portas. Para obter mais informações sobre portas, consulte o artigo da TechNet, Atribuições de portas TCP e UDP.

  Impacto da solução alternativa. Vários serviços Windows usam as portas afetadas. O bloqueio da conectividade nas portas pode impedir o funcionamento de vários aplicativos ou serviços. Alguns dos aplicativos ou serviços que podem ser afetados estão listados abaixo:

  • Aplicativos que usam SMB (CIFS)
  • Aplicativos que usam processadores de mensagens ou pipes nomeados (RPC em SMB)
  • Servidor (Compartilhamento de arquivos e impressoras)
  • Diretiva de Grupo
  • Logon de rede
  • Sistema de arquivos distribuídos (DFS)
  • Licenciamento de Terminal Server
  • Spooler de impressão
  • Pesquisador de Computadores
  • Localizador de chamada de procedimento remoto
  • Serviço de fax
  • Serviço de Indexação
  • Alertas e logs de desempenho
  • Systems Management Server
  • Serviço de registro de licença

  Como desfazer a solução alternativa. Desbloqueie as portas TCP 139 e 445 no firewall. Para obter mais informações sobre as portas, consulte TCP and UDP Port Assignments.

Qual é o escopo da vulnerabilidade?  
Essa é uma vulnerabilidade de execução remota de código. O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

O que provoca a vulnerabilidade?  
Quando Internet Explorer tenta chamar o aplicativo associado com o manipulador de URI do Telnet, um binário personalizado pode ser carregado, levando à execução de código arbitrário no contexto do usuário de logon.

Para que um invasor pode usar a vulnerabilidade?  
O invasor que explorar com êxito esta vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Se um usuário tiver feito logon com direitos administrativos, o invasor que explorar com êxito essa vulnerabilidade poderá obter o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.

De que forma o invasor pode explorar a vulnerabilidade?  
O invasor pode hospedar um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor ou abrindo um anexo enviado por email.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?  
Esta vulnerabilidade requer que um usuário esteja conectado e visite um site para que uma ação mal-intencionada ocorra. Portanto, os sistemas nos quais o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade.

O que a atualização faz?  
A atualização elimina a vulnerabilidade modificando a maneira como o manipulador do telnet executa o aplicativo associado.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios pode conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, o invasor teria que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou mensagem do Instant Messenger que leva o usuário ao site do invasor.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos, o que desabilita scripts e controles ActiveX, ajudando a reduzir o risco de um invasor conseguir usar essa vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível Padrão e mova-o para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desabilitação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade?  
Essa é uma vulnerabilidade de divulgação de informações. Um invasor que explora a vulnerabilidade quando o usuário exibe uma página da Web e altera seu conjunto de caracteres poderia exibir o conteúdo do computador local ou uma janela do navegador em um domínio ou zona do Internet Explorer diferente do domínio ou zona da página da Web do invasor.

O que provoca a vulnerabilidade?  
Durante determinados processos, o Internet Explorer manipula incorretamente determinadas sequências de caracteres, levando os sites a implementar filtros inativos.

Para que um invasor pode usar a vulnerabilidade?  
Um invasor que explore com êxito essa vulnerabilidade pode exibir conteúdo de outro domínio ou da zona do Internet Explorer.

De que forma o invasor pode explorar a vulnerabilidade?  
O invasor pode inserir strings em um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site. Não há como o invasor forçar os usuários a visitarem esses sites. Em vez disso, um invasor tem que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou por um pedido pelo Instant Messenger que leva o usuário ao site com conteúdo mal-intencionado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?  
Esta vulnerabilidade requer que um usuário visite e execute ações em um site para que uma ação mal-intencionada ocorra. Portanto, os sistemas nos quais o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade?  
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz?  
A atualização elimina a vulnerabilidade modificando a maneira como o Internet Explorer envia dados durante determinados processos.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Sim. Essa vulnerabilidade foi divulgada publicamente. Ela recebeu o número CVE-2011-1962 da lista Common Vulnerability and Exposure.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A aplicação desta atualização de segurança ajuda a proteger clientes do código, divulgado publicamente, que tenta explorar esta vulnerabilidade?  
Sim. Essa atualização de segurança elimina a vulnerabilidade que poderia ser explorada por meio do uso do código de verificação de conceito publicado. A vulnerabilidade eliminada recebeu o número CVE-2011-1962 da lista Common Vulnerability and Exposure.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios pode conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a visitarem os sites. Em vez disso, o invasor teria que persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou mensagem do Instant Messenger que leva o usuário ao site do invasor.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Ler emails em texto sem formatação

  Para ajudar a se proteger do vetor de ataque de email, leia as mensagens de email no formato de texto sem formatação.

  Microsoft Outlook 2003, 2007 de Microsoft Outlook e Microsoft Outlook 2010 fornecem uma opção para ler mensagens de email em formato de texto sem formatação. Para obter mais informações sobre o Ler todas as mensagens-padrão em texto sem formatação, consulte o artigo 831607 (em inglês) da Microsoft Knowledge Base.

  Os usuários do Microsoft Office Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Office Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir mensagens de email sem assinatura digital ou não criptografadas somente como texto sem formatação.

  Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o Artigo 307594 (em inglês) da Microsoft Knowledge Base.

  Para obter informações sobre essa configuração no Outlook Express 6, consulte o Artigo 291387 (em inglês) da Microsoft Knowledge Base.

  Impacto da solução alternativa. As mensagens de email exibidas em formato de texto sem formatação não conterão figuras, fontes específicas, animações nem outro conteúdo formatado. Além disso:

  • As alterações são aplicadas ao painel de visualização e a mensagens abertas.
  • As imagens passam a ser anexos para não serem perdidas.
  • Como a mensagem ainda será armazenada como Rich Text ou HTML, o modelo de objeto (soluções de código personalizado) pode comportar-se de maneira inesperada.

Qual é o escopo da vulnerabilidade?  
Essa é uma vulnerabilidade de execução remota de código. O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

O que provoca a vulnerabilidade?  
Quando o Internet Explorer tenta acessar um objeto que não foi inicializado ou foi excluído, a memória pode ser corrompida de tal maneira que um invasor pode executar código arbitrário no contexto do usuário conectado.

Para que um invasor pode usar a vulnerabilidade?  
O invasor que explorar com êxito esta vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Se um usuário tiver feito logon com direitos administrativos, o invasor que explorar com êxito essa vulnerabilidade poderá obter o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.

De que forma o invasor pode explorar a vulnerabilidade?  
O invasor pode hospedar um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site. O invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor ou abrindo um anexo enviado por email.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?  
Sistemas em que o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade.

O que a atualização faz?  
A atualização elimina a vulnerabilidade modificando a maneira como o Internet Explorer manipula objetos na memória.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Em um cenário de ataque com base na Web, o invasor pode hospedar um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site. O invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor ou abrindo um anexo enviado por email.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos, o que desabilita scripts e controles ActiveX, ajudando a reduzir o risco de um invasor conseguir usar essa vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível Padrão e mova-o para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desabilitação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade?  
Essa é uma vulnerabilidade de execução remota de código. O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

O que provoca a vulnerabilidade?  
Quando o Internet Explorer tenta acessar um objeto que não foi inicializado ou foi excluído, a memória pode ser corrompida de tal maneira que um invasor pode executar código arbitrário no contexto do usuário conectado.

Para que um invasor pode usar a vulnerabilidade?  
O invasor que explorar com êxito esta vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Se um usuário tiver feito logon com direitos administrativos, o invasor que explorar com êxito essa vulnerabilidade poderá obter o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.

De que forma o invasor pode explorar a vulnerabilidade?  
O invasor pode hospedar um site especialmente projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a exibir o site. O invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado para explorar essa vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, o invasor precisa convencer os usuários a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor ou abrindo um anexo enviado por email.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?  
Sistemas em que o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade?  
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz?  
A atualização elimina a vulnerabilidade modificando a maneira como o Internet Explorer manipula objetos na memória.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios pode conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, um invasor não teria como forçar os usuários a realizar uma ação de arrastar e soltar. Em vez disso, o invasor teria que persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou em uma mensagem do Instant Messenger que leva o usuário ao site do invasor, e então convencê-los a realizar uma operação de arrastar e soltar.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos, o que desabilita scripts e controles ActiveX, ajudando a reduzir o risco de um invasor conseguir usar essa vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível Padrão e mova-o para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desabilitação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites Confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar a caixa de diálogo Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite o URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu computador. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Renomeie a pasta padrão de cookie

  Aviso O uso incorreto do Editor do Registro pode causar problemas graves e exigir a reinstalação do sistema operacional. A Microsoft não garante a solução de problemas resultantes do uso incorreto do Editor do Registro. Você é responsável pelo uso do Editor do Registro.

  Recomendamos fazer backup do Registro antes de editá-lo.

  Para renomear a pasta de Cookies, execute as seguintes etapas para cada usuário.

  Parte 1 - Criar uma pasta nova para cookies e usar um nome aleatório para a pasta.

  1. Sair de todas as janelas e processos relacionados ao Internet Explorer.
  2. Num computador que executa Windows Vista, Windows Server 2008, Windows 7 ou Windows Server 2008 R2, abrir uma janela de prompt de comando e então mudar à pasta pai da pasta de Cookies. Para fazer isto, execute o seguinte comando:
     
     CD %USERPROFILE%\AppData\Roaming\Microsoft\Windows
     
     Num computador executando o Windows XP ou Windows Server 2003, executar o seguinte comando:
     
     O CD % USERPROFILE %
  3. Criar uma pasta nova para cookies e usar um nome aleatório com oito caracteres para a pasta. Usar uma mistura de letras, números e outros caracteres para o nome da pasta. Você não pode usar os seguintes caracteres no nome da pasta, pois eles são reservados pelo sistema operacional:
     
     \ /? : * "> < |
     
     Num prompt de comando, digite o seguinte comando, em que Random_Folder_Name é o nome aleatório com oito caracteres:
     
     Mkdir Random_Folder_Name-Cookies
     
     e então pressione Enter.

  Parte 2 - Copiar os arquivos atuais de cookies da pasta padrão de Cookies.

  Execute o seguinte comando de um prompt de comando, em que Random_Folder_Name é o nome da pasta de oito caracteres que você criou na Parte 1 acima.

  • Para Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2:
    
    Xcopy /S /H %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies\*.* %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Random_Folder_Name-Cookies\
  • Para Windows XP e Windows Server 2003:
    
    Xcopy /S /H %USERPROFILE%\Cookies\*.* %USERPROFILE%\Random_Folder_Name-Cookies\

  Parte 3 - Editar a entrada de registro que determina a pasta de Cookies.

  1. Clique em Iniciar, Executar, digite regedit e clique em OK.
  2. Localize e clique na seguinte entrada do Registro:
     
     HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders\Cookies
  3. No menu Editar, clique em Modificar.
  4. Na caixa de texto Dados de Valor, digite o seguinte texto, em que Random_Folder_Name é o nome da pasta nova de Cookies que você criou anteriormente:
     
     Para Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2:
     
     %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Random_Folder_Name-Cookies
     
     Para Windows XP e Windows Server 2003:
     
     %USERPROFILE%\Random_Folder_Name-Cookies
  5. Pressione Enter e então reinicie o computador. Esse comando lança arquivos na pasta original de Cookies que foram usadas.
  6. Depois que reiniciar, exclua o conteúdo da pasta antiga de Cookies. Para fazer isso, digite o seguinte comando num prompt de comando e então pressione Enter:
     
     Para Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2:
     
     Del /S /Q %USERPROFILE%\AppData\Roaming\Microsoft\Windows\Cookies\*.*
     
     Para Windows XP e Windows Server 2003:
     
     Del /S /Q %USERPROFILE%\Cookies\*.*
     
     Observação se você receber uma mensagem de erro que declara que o arquivo index.dat não pode ser excluído, pode seguramente ignorar o erro.

Qual é o escopo da vulnerabilidade?  
Essa é uma vulnerabilidade de divulgação de informações. Um invasor que explora a vulnerabilidade quando um usuário exibe uma página da Web e executa uma operação de arrastar e soltar pode conseguir acessar arquivos de cookie armazenados na máquina local.

O que provoca a vulnerabilidade?  
Internet Explorer incorretamente restringe o acesso a arquivos de cookie armazenados na máquina local.

Para que um invasor pode usar a vulnerabilidade?  
Um invasor que explora com sucesso este vulnerabilidade pode conseguir acessar arquivos de cookies armazenados na máquina local.

De que forma o invasor pode explorar a vulnerabilidade?  
Uma vulnerabilidade de divulgação não autorizada de informações existe no Internet Explorer e pode permitir que um invasor ecesse arquivos de cookies armazenados na máquina local. Um invasor pode explorar esta vulnerabilidade criando uma página da Web especial que pode permitir a divulgação não autorizada de informações se o usuário exibir essa página e realize uma operação de arrastar e soltar. Um invasor que explora com sucesso este vulnerabilidade pode conseguir acessar arquivos de cookies armazenados na máquina local.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?  
Esta vulnerabilidade requer que um usuário faça logon, visitando um site e executando uma operação de arrastar e soltar para que qualquer ação mal-intencionada ocorra. Portanto, os sistemas nos quais o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade?  
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz?  
A atualização aborda a vulnerabilidade modificando a forma como o Internet Explorer acessa arquivos armazenados na máquina local e gerencia arquivos de cookie. Isso inclui uma alteração na maneira como o Internet Explorer configura nomes de arquivo para arquivos de cookie para fazer com que os nomes de arquivo de cookies fiquem menos previsíveis.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?  
Sim. Essa vulnerabilidade foi divulgada publicamente. Ela recebeu o número CVE-2011-2383 da lista Common Vulnerability and Exposure.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?  
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A aplicação desta atualização de segurança ajuda a proteger clientes do código, divulgado publicamente, que tenta explorar esta vulnerabilidade?  
Sim. Essa atualização de segurança elimina a vulnerabilidade que poderia ser explorada por meio do uso do código de verificação de conceito publicado. A vulnerabilidade eliminada recebeu o número CVE-2011-2383 da lista Common Vulnerability and Exposure.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Observação a atualização para versões com suporte do Windows XP Professional x64 Edition também se aplica a versões com suporte do Windows Server 2003 x64 Edition.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Observação a atualização para versões com suporte do Windows Server 2003 x64 Edition também se aplica a versões com suporte do Windows XP Professional x64 Edition.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.