Microsoft Security Bulletin MS12-015 - Importante

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Em um cenário de ataque baseado na Web, o invasor pode hospedar um site que contenha um arquivo Word usado para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a visitar esses sites. Em vez disso, o invasor teria de persuadir os usuários a visitar o site, geralmente fazendo-os clicar em um link em um email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor, e então convencê-los a abrir o arquivo do Visio criado especialmente.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos. A zona de sites restritos, que desabilita o script e os controles ActiveX, ajuda a reduzir o risco de um invasor ser capaz de usar esta vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis

  Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis. Essa vulnerabilidade pode ser explorada quando o usuário abre um arquivo especialmente criado.

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível padrão e então mova o controle deslizante para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desative os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desativação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de execução remota de código.

O que provoca a vulnerabilidade? 
A vulnerabilidade existe na maneira como o Microsoft Visio Viewer manipula a memória ao analisar arquivos do Visio especialmente criados.

Para que um invasor pode usar a vulnerabilidade? 
Um invasor que explorar com êxito essa vulnerabilidade pode executar o código arbitrário como o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

De que forma o invasor pode explorar a vulnerabilidade? 
Esta vulnerabilidade requer que um usuário abra um arquivo especialmente criado do Visio com uma versão afetada do Microsoft Visio Viewer.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade, enviando para o usuário um arquivo do Visio especialmente criado e convencendo-o a abrir o arquivo.

Em um cenário de ataque pela Web, o invasor terá que hospedar um site que contenha um arquivo especialmente criado do Visio usado para tentar explorar esta vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário podem conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Não há como o invasor forçar os usuários a visitarem o site mal intencionado. Em vez disso, o invasor terá de persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link que os leve ao site do invasor, e então convencê-los a abrir um arquivo do Visio especialmente criado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Os sistemas nos quais o Microsoft Visio Viewer é usado, incluindo estações de trabalhos e servidores de terminal, são os que correm mais risco. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade? 
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz? 
Esta atualização elimina a vulnerabilidade, corrigindo a maneira como o Microsoft Visio Viewer valida dados ao abrir arquivos do Visio especialmente criados.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente? 
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada? 
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Em um cenário de ataque baseado na Web, o invasor pode hospedar um site que contenha um arquivo Word usado para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a visitar esses sites. Em vez disso, o invasor teria de persuadir os usuários a visitar o site, geralmente fazendo-os clicar em um link em um email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor, e então convencê-los a abrir o arquivo do Visio criado especialmente.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos. A zona de sites restritos, que desabilita o script e os controles ActiveX, ajuda a reduzir o risco de um invasor ser capaz de usar esta vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis

  Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis. Essa vulnerabilidade pode ser explorada quando o usuário abre um arquivo especialmente criado.

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível padrão e então mova o controle deslizante para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desative os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desativação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de execução remota de código.

O que provoca a vulnerabilidade? 
A vulnerabilidade existe na maneira como o Microsoft Visio Viewer manipula a memória ao analisar arquivos do Visio especialmente criados.

Para que um invasor pode usar a vulnerabilidade? 
Um invasor que explorar com êxito essa vulnerabilidade pode executar o código arbitrário como o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

De que forma o invasor pode explorar a vulnerabilidade? 
Esta vulnerabilidade requer que um usuário abra um arquivo especialmente criado do Visio com uma versão afetada do Microsoft Visio Viewer.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade, enviando para o usuário um arquivo do Visio especialmente criado e convencendo-o a abrir o arquivo.

Em um cenário de ataque pela Web, o invasor terá que hospedar um site que contenha um arquivo especialmente criado do Visio usado para tentar explorar esta vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário podem conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Não há como o invasor forçar os usuários a visitarem o site mal intencionado. Em vez disso, o invasor terá de persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link que os leve ao site do invasor, e então convencê-los a abrir um arquivo do Visio especialmente criado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Os sistemas nos quais o Microsoft Visio Viewer é usado, incluindo estações de trabalhos e servidores de terminal, são os que correm mais risco. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade? 
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz? 
Esta atualização elimina a vulnerabilidade, corrigindo a maneira como o Microsoft Visio Viewer valida dados ao abrir arquivos do Visio especialmente criados.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente? 
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada? 
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Em um cenário de ataque baseado na Web, o invasor pode hospedar um site que contenha um arquivo Word usado para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a visitar esses sites. Em vez disso, o invasor teria de persuadir os usuários a visitar o site, geralmente fazendo-os clicar em um link em um email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor, e então convencê-los a abrir o arquivo do Visio criado especialmente.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos. A zona de sites restritos, que desabilita o script e os controles ActiveX, ajuda a reduzir o risco de um invasor ser capaz de usar esta vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis

  Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis. Essa vulnerabilidade pode ser explorada quando o usuário abre um arquivo especialmente criado.

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível padrão e então mova o controle deslizante para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desative os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desativação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de execução remota de código.

O que provoca a vulnerabilidade? 
A vulnerabilidade existe na maneira como o Microsoft Visio Viewer manipula a memória ao analisar arquivos do Visio especialmente criados.

Para que um invasor pode usar a vulnerabilidade? 
Um invasor que explorar com êxito essa vulnerabilidade pode executar o código arbitrário como o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

De que forma o invasor pode explorar a vulnerabilidade? 
Esta vulnerabilidade requer que um usuário abra um arquivo especialmente criado do Visio com uma versão afetada do Microsoft Visio Viewer.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade, enviando para o usuário um arquivo do Visio especialmente criado e convencendo-o a abrir o arquivo.

Em um cenário de ataque pela Web, o invasor terá que hospedar um site que contenha um arquivo especialmente criado do Visio usado para tentar explorar esta vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário podem conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Não há como o invasor forçar os usuários a visitarem o site mal intencionado. Em vez disso, o invasor terá de persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link que os leve ao site do invasor, e então convencê-los a abrir um arquivo do Visio especialmente criado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Os sistemas nos quais o Microsoft Visio Viewer é usado, incluindo estações de trabalhos e servidores de terminal, são os que correm mais risco. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade? 
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz? 
Esta atualização elimina a vulnerabilidade, corrigindo a maneira como o Microsoft Visio Viewer valida dados ao abrir arquivos do Visio especialmente criados.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente? 
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada? 
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Em um cenário de ataque baseado na Web, o invasor pode hospedar um site que contenha um arquivo Word usado para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a visitar esses sites. Em vez disso, o invasor teria de persuadir os usuários a visitar o site, geralmente fazendo-os clicar em um link em um email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor, e então convencê-los a abrir o arquivo do Visio criado especialmente.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos. A zona de sites restritos, que desabilita o script e os controles ActiveX, ajuda a reduzir o risco de um invasor ser capaz de usar esta vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis

  Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis. Essa vulnerabilidade pode ser explorada quando o usuário abre um arquivo especialmente criado.

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível padrão e então mova o controle deslizante para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desative os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desativação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de execução remota de código.

O que provoca a vulnerabilidade? 
A vulnerabilidade existe na maneira como o Microsoft Visio Viewer manipula a memória ao analisar arquivos do Visio especialmente criados.

Para que um invasor pode usar a vulnerabilidade? 
Um invasor que explorar com êxito essa vulnerabilidade pode executar o código arbitrário como o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

De que forma o invasor pode explorar a vulnerabilidade? 
Esta vulnerabilidade requer que um usuário abra um arquivo especialmente criado do Visio com uma versão afetada do Microsoft Visio Viewer.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade, enviando para o usuário um arquivo do Visio especialmente criado e convencendo-o a abrir o arquivo.

Em um cenário de ataque pela Web, o invasor terá que hospedar um site que contenha um arquivo especialmente criado do Visio usado para tentar explorar esta vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário podem conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Não há como o invasor forçar os usuários a visitarem o site mal intencionado. Em vez disso, o invasor terá de persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link que os leve ao site do invasor, e então convencê-los a abrir um arquivo do Visio especialmente criado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Os sistemas nos quais o Microsoft Visio Viewer é usado, incluindo estações de trabalhos e servidores de terminal, são os que correm mais risco. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade? 
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz? 
Esta atualização elimina a vulnerabilidade, corrigindo a maneira como o Microsoft Visio Viewer valida dados ao abrir arquivos do Visio especialmente criados.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente? 
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada? 
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

A atenuação refere-se a uma configuração, configuração comum ou prática recomendada geral, existindo num estado padrão, que possa reduzir a gravidade de exploração de uma vulnerabilidade. Os fatores de atenuação a seguir podem ser úteis em sua situação:

• Em um cenário de ataque baseado na Web, o invasor pode hospedar um site que contenha um arquivo Word usado para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar esta vulnerabilidade. Em todos os casos, entretanto, o invasor não tem como forçar os usuários a visitar esses sites. Em vez disso, o invasor teria de persuadir os usuários a visitar o site, geralmente fazendo-os clicar em um link em um email ou em uma mensagem do Instant Messenger que leve os usuários ao site do invasor, e então convencê-los a abrir o arquivo do Visio criado especialmente.
• Por padrão, todas as versões com suporte do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem emails em HTML na zona de sites restritos. A zona de sites restritos, que desabilita o script e os controles ActiveX, ajuda a reduzir o risco de um invasor ser capaz de usar esta vulnerabilidade para executar código mal-intencionado. Se um usuário clicar em um link em uma mensagem de email, ele ainda pode estar vulnerável à exploração dessa vulnerabilidade, por meio do cenário de ataque baseado na Web.
• Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
• O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário conectado. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

A solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as soluções alternativas e estados a seguir como parte do cenário que implica se uma solução alternativa reduziria funcionalidade:

• Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis

  Não abra arquivos do Office recebidos de fontes não confiáveis ou recebidos inesperadamente de fontes confiáveis. Essa vulnerabilidade pode ser explorada quando o usuário abre um arquivo especialmente criado.

• Defina as configurações de zona de segurança da Internet e da intranet local como “Alta” para bloquear controles ActiveX e scripts ativos nessas zonas

  Você pode ajudar na proteção contra a exploração dessa vulnerabilidade alterando suas configurações, para que a zona de segurança da Internet bloqueie controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador como Alta.

  Para aumentar o nível de segurança da navegação no Internet Explorer, siga estas etapas:

  1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
  2. Na caixa de diálogo Opções da Internet, clique na guia Segurança e, em seguida, no ícone Internet.
  3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites visitados como Alto.

  Observação Se o controle deslizante não estiver visível, clique em Nível padrão e então mova o controle deslizante para Alto.

  Observação A configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

  Impacto da solução alternativa. Há efeitos colaterais ao bloqueio de controles ActiveX e scripts ativos. Muitos sites que não estão na Internet ou na intranet usam controles ActiveX e scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. O bloqueio de controles ActiveX ou scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Se você não quiser bloquear controles ActiveX e scripts ativos para esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para bloquear controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a se proteger contra ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

• Configure o Internet Explorer para notificá-lo antes da execução de scripts ativos ou desative os scripts ativos na zona de segurança da Internet e da intranet local

  Para se proteger contra a exploração dessa vulnerabilidade, altere as configurações para ser notificado antes da execução de scripts ativos ou desabilite os scripts ativos na zona de segurança da Internet e da intranet local. Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas.
  2. Clique na guia Segurança.
  3. Clique em Internet e, em seguida, clique em Nível Personalizado.
  4. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  5. Clique em Intranet local e, em seguida, clique em Nível Personalizado.
  6. Em Configurações, na seção Script, em Scripts Ativos, clique em Avisar ou Desativar e, em seguida, clique em OK.
  7. Clique em OK duas vezes para retornar ao Internet Explorer.

  Observação A desativação dos scripts ativos nas zonas de segurança da Internet e da intranet local poderá fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site após alterar a configuração, mas tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permitirá que o site funcione adequadamente.

  Impacto da solução alternativa. Há efeitos colaterais para notificação antes da execução de scripts ativos. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado frequentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se não quiser ser avisado para todos esses sites, use os passos descritos em “Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer”.

  Adicione sites confiáveis à zona Sites confiáveis do Internet Explorer

  Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de Sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

  Para isso, execute as seguintes etapas:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança.
  2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança, clique em Sites confiáveis e, em seguida, clique em Sites.
  3. Se desejar adicionar sites que não requeiram um canal criptografado, clique para desmarcar Exigir verificação do servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este site à zona, digite a URL de um site em que confia e, em seguida, clique em Adicionar.
  5. Repita essas etapas para cada site que você deseja adicionar à zona.
  6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

  Observação Adicione os sites que você tem certeza de que não realizarão ações mal-intencionadas em seu sistema. Dois em particular que você pode desejar adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que hospedam a atualização, e é preciso ter um controle ActiveX para instalar a atualização.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de execução remota de código.

O que provoca a vulnerabilidade? 
A vulnerabilidade existe na maneira como o Microsoft Visio Viewer manipula a memória ao analisar arquivos do Visio especialmente criados.

Para que um invasor pode usar a vulnerabilidade? 
Um invasor que explorar com êxito essa vulnerabilidade pode executar o código arbitrário como o usuário conectado. Se um usuário estiver conectado com direitos administrativos, o invasor poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

De que forma o invasor pode explorar a vulnerabilidade? 
Esta vulnerabilidade requer que um usuário abra um arquivo especialmente criado do Visio com uma versão afetada do Microsoft Visio Viewer.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade, enviando para o usuário um arquivo do Visio especialmente criado e convencendo-o a abrir o arquivo.

Em um cenário de ataque pela Web, o invasor terá que hospedar um site que contenha um arquivo especialmente criado do Visio usado para tentar explorar esta vulnerabilidade. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário podem conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Não há como o invasor forçar os usuários a visitarem o site mal intencionado. Em vez disso, o invasor terá de persuadir os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link que os leve ao site do invasor, e então convencê-los a abrir um arquivo do Visio especialmente criado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Os sistemas nos quais o Microsoft Visio Viewer é usado, incluindo estações de trabalhos e servidores de terminal, são os que correm mais risco. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008 ou Windows Server 2008 R2. Isto atenua esta vulnerabilidade? 
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008 e no Windows Server 2008 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar um conteúdo da Web especialmente criado em um servidor. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que a atualização faz? 
Esta atualização elimina a vulnerabilidade, corrigindo a maneira como o Microsoft Visio Viewer valida dados ao abrir arquivos do Visio especialmente criados.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente? 
Não. A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada? 
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi lançado pela primeira vez.

Tabela de referência

A tabela a seguir contém as informações de atualização de segurança desse software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.