Boletim de Segurança

Microsoft Security Bulletin MS12-040 - Importante

Vulnerabilidade no Portal Empresarial do Microsoft Dynamics AX pode permitir a elevação de privilégio (2709100)

Publicado em: 12 de junho de 2012

Versão: 1.0

Informações Gerais

Resumo executivo

Esta atualização de segurança elimina uma vulnerabilidade relatada em particular no Portal Empresarial do Microsoft Dynamics AX. A vulnerabilidade pode permitir a elevação de privilégio se um usuário clicar em uma URL especialmente criada ou visitar um site especialmente criado. Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade enviando uma mensagem de email que contenha a URL especialmente criada para o usuário do site do Portal Empresarial do Microsoft Dynamics AX de destino e convencendo o usuário a clicar na URL especialmente criada. Os usuários do Internet Explorer 8 e do Internet Explorer 9 navegando para um site do Portal Empresarial do Microsoft Dynamics AX na Zona da Internet correm um risco reduzido. Por padrão, o filtro XSS no Internet Explorer 8 e no Internet Explorer 9 impede esse ataque na zona da Internet. No entanto, o filtro XSS no Internet Explorer 8 e Internet Explorer 9 não está habilitado por padrão na zona da intranet.

Esta atualização de segurança é classificada como Importante para todas as edições com suporte do Portal Empresarial do Microsoft Dynamics AX 2012. Para obter mais informações, consulte a subseção Software afetado e não afetado, nesta seção.

A atualização de segurança elimina a vulnerabilidade corrigindo a maneira como o Portal Empresarial do Microsoft Dynamics AX 2012 valida e limpa a entrada do usuário. Para obter mais informações sobre a vulnerabilidade, consulte a subseção Perguntas frequentes sobre a entrada de vulnerabilidade específica na próxima seção, Informações sobre a vulnerabilidade.

Recomendação.  A Microsoft recomenda que os clientes apliquem a atualização o mais rápido possível.

Problemas conhecidos.O Artigo 2709100 (em inglês) da Microsoft Knowledge Base documenta os problemas atualmente conhecidos que os clientes podem enfrentar ao instalar esta atualização de segurança. O artigo também documenta soluções recomendadas para esses problemas.

Software afetado e não afetado

O software a seguir foi testado para determinar quais versões ou edições são afetadas. Outras versões ou edições já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, visite Ciclo de Vida do Suporte da Microsoft.

Softwares afetados

^[1]Esta atualização está disponível somente no Centro de Download da Microsoft e nos sites Microsoft Dynamics CustomerSource e Microsoft Dynamics PartnerSource. Consulte a próxima seção, Perguntas frequentes relacionadas a esta atualização de segurança.

Software não afetado

Perguntas frequentes relacionadas a esta atualização de segurança

Por que as atualizações só estão disponíveis no Centrode Download da Microsoft e nossites Microsoft DynamicsCustomerSourcee Microsoft DynamicsPartnerSource? 
A Microsoft está lançando essas atualizações no Centro de Download da Microsoft para que os clientes possam começar a atualizar seus sistemas o mais rápido possível. Essas atualizações de segurança também estão disponíveis nos sites Microsoft Dynamics CustomerSource e Microsoft Dynamics PartnerSource .

Onde estão os detalhes das informações do arquivo? 
Consulte as tabelas de referência na seção Implantação da Atualização de Segurança para obter o local dos detalhes das informações do arquivo.

Por quevários pacotes de atualização estãolistados para o Portal Empresarial do Microsoft Dynamics AX2012? 
As atualizações necessárias para resolver as vulnerabilidades descritas neste boletim são oferecidas em diferentes pacotes de atualização, conforme indicado na tabela Softwares afetados, devido ao modelo de serviço componentizado para o Portal Empresarial do Microsoft Dynamics AX 2012.

Preciso instalar essas atualizações de segurança em uma sequência específica? 
Não. Várias atualizações para uma versão do Portal Empresarial do Microsoft Dynamics AX 2012 podem ser aplicadas em qualquer sequência.

Estou usando uma versão mais antiga do software discutido neste boletim de segurança. O que devo fazer? 
Os softwares afetados listados neste boletim foram testados para determinar quais versões são afetadas. Outras versões já passaram do ciclo de vida de suporte. Para obter mais informações sobre o ciclo de vida do produto, visite o site do Ciclo de Vida do Suporte da Microsoft.

Deve ser uma prioridade para os clientes que têm versões mais antigas do software migrar para versões com suporte para evitar a exposição potencial a vulnerabilidades. Para determinar o ciclo de vida de suporte para sua versão de software, consulte Selecionar um produto para obter informações sobre o ciclo de vida. Para obter mais informações sobre service packs para essas versões de software, consulte Política de suporte ao ciclo de vida do Service Pack.

Os clientes que precisam de suporte personalizado para software mais antigo devem entrar em contato com o representante da equipe de contas da Microsoft, o gerente técnico de contas ou o representante de parceiro da Microsoft apropriado para obter opções de suporte personalizadas. Os clientes sem um Contrato Alliance, Premier ou Autorizado podem entrar em contato com o escritório de vendas local da Microsoft. Para obter informações de contacto, visite o Web site Microsoft Worldwide Information , seleccione o país na lista de informações de contacto e, em seguida, clique em Ir para ver uma lista de números de telefone. Quando ligar, peça para falar com o gerente de vendas do Suporte Premier local. Para obter mais informações, consulte as Perguntas frequentes sobre a Política de Ciclo de Vida do Suporte da Microsoft.

Informações sobre vulnerabilidade

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de junho. Para obter mais informações, consulte Índice de exploração da Microsoft.

Vulnerabilidade de XSS no Portal Empresarial do Dynamics AX - CVE-2012-1857

Existe uma vulnerabilidade de script entre sites no Portal Empresarial do Microsoft Dynamics AX que pode resultar em divulgação de informações ou elevação de privilégio se um usuário clicar em uma URL especialmente criada que contenha elementos JavaScript mal-intencionados. Devido à vulnerabilidade, quando o JavaScript mal-intencionado é ecoado de volta para o navegador do usuário, a página resultante pode permitir que um invasor emita comandos do Portal Empresarial do Microsoft Dynamics AX no contexto do usuário autenticado no site do Portal Empresarial do Microsoft Dynamics AX de destino.

Para exibir esta vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2012-1857.

Fatores atenuantes da vulnerabilidade de XSS do Dynamics AX Enterprise Portal - CVE-2012-1857

Mitigação refere-se a uma configuração, configuração comum ou prática recomendada geral, existente em um estado padrão, que pode reduzir a gravidade da exploração de uma vulnerabilidade. Os seguintes fatores atenuantes podem ser úteis em sua situação:

• Em um cenário de ataque baseado na Web, um invasor pode hospedar um site que contenha uma página da Web usada para explorar essa vulnerabilidade. Além disso, sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar essa vulnerabilidade. Em todos os casos, no entanto, um invasor não teria como forçar os usuários a visitar esses sites. Em vez disso, um invasor teria que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em uma mensagem de email ou mensagem do Instant Messenger que leva os usuários ao site do invasor e, em seguida, convencê-los a clicar em uma URL especialmente criada que é usada para explorar a vulnerabilidade.
• Os usuários do Internet Explorer 8 e do Internet Explorer 9 navegando para um site do Portal Empresarial do Microsoft Dynamics AX 2012 na Zona da Internet correm um risco reduzido. Por padrão, o filtro XSS no Internet Explorer 8 e no Internet Explorer 9 impede esse ataque na zona da Internet. O filtro XSS no Internet Explorer 8 e Internet Explorer 9, no entanto, não está habilitado por padrão na zona da intranet.
• A vulnerabilidade não pode ser explorada automaticamente por e-mail. Para que um ataque seja bem-sucedido, um usuário deve clicar em uma URL especialmente criada enviada em uma mensagem de email.

Soluções alternativas para a vulnerabilidade de XSS do Dynamics AX Enterprise Portal - CVE-2012-1857

Solução alternativa refere-se a uma configuração ou alteração de configuração que não corrige a vulnerabilidade subjacente, mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as seguintes soluções alternativas e estados na discussão se uma solução alternativa reduz a funcionalidade:

• Habilitar o filtro XSS do Internet Explorer 8 e do Internet Explorer 9 na zona de segurança da Intranet local

  Você pode ajudar a se proteger contra a exploração desta vulnerabilidade alterando suas configurações para habilitar o filtro XSS na zona de segurança da intranet local. (O filtro XSS está habilitado por padrão na zona de segurança da Internet.) Para fazer isso, execute as seguintes etapas:

  1. No Internet Explorer 8 ou Internet Explorer 9, clique em Opções da Internet no menu Ferramentas .
  2. Clique na guia Segurança .
  3. Clique em Intranet local e, em seguida, clique em Nível personalizado.
  4. Em Configurações, na seção Scripts, em Habilitar filtro XSS, clique em Habilitar e em OK.
  5. Clique em OK duas vezes para retornar ao Internet Explorer.

  Impacto da solução alternativa. Sites internos não sinalizados anteriormente como sendo riscos de XSS podem ser sinalizados.

  Como desfazer a solução alternativa. 

  Para desfazer essa solução alternativa, execute as seguintes etapas:

  1. No Internet Explorer 8 ou Internet Explorer 9, clique em Opções da Internet no menu Ferramentas .
  2. Clique na guia Segurança .
  3. Clique em Intranet local e, em seguida, clique em Nível personalizado.
  4. Em Configurações, na seção Scripts, em Habilitar filtro XSS, clique em Desabilitar e em OK.
  5. Clique em OK duas vezes para retornar ao Internet Explorer.

Perguntas frequentes sobre a vulnerabilidade de XSS no Portal Empresarial do Dynamics AX - CVE-2012-1857

Qual é a abrangência da vulnerabilidade?
Esta é uma vulnerabilidade de script entre sites que pode resultar em elevação de privilégio ou divulgação de informações.

Qual é o componente afetado pela vulnerabilidade?
O componente Portal Empresarial do Microsoft Dynamics AX 2012 é afetado.

O que causa a vulnerabilidade?
A vulnerabilidade é causada quando o Portal Empresarial do Microsoft Dynamics AX não manipula corretamente elementos JavaScript mal-intencionados contidos em uma URL especialmente criada, permitindo que o script seja exibido de volta ao navegador do usuário.

O que é script entre sites?
Cross-site scripting (XSS) é uma classe de vulnerabilidade de segurança que pode permitir que um invasor injete código de script na sessão de um usuário com um site. A vulnerabilidade pode afetar servidores Web que geram páginas HTML dinamicamente. Se esses servidores incorporarem a entrada do navegador nas páginas dinâmicas que eles enviam de volta ao navegador, esses servidores poderão ser manipulados para incluir conteúdo fornecido maliciosamente nas páginas dinâmicas. Isso pode permitir que scripts mal-intencionados sejam executados. Os navegadores da Web podem perpetuar esse problema por meio de suas suposições de sites confiáveis e seu uso de cookies para manter o estado persistente com os sites que frequentam. Um ataque XSS não modifica o conteúdo do site. Em vez disso, ele insere um novo script mal-intencionado que pode ser executado no navegador no contexto associado a um servidor confiável.

Para que um invasor pode usar a vulnerabilidade?
O invasor que explorar com êxito essa vulnerabilidade poderá ler conteúdo que o invasor não está autorizado a ler, usar a identidade da vítima para executar ações no site do Portal Empresarial do Microsoft Dynamics AX em nome da vítima, como alterar permissões e excluir conteúdo, e injetar conteúdo mal-intencionado no navegador da vítima.

Como um invasor pode explorar a vulnerabilidade?
Para que esta vulnerabilidade seja explorada, um usuário deve clicar em uma URL especialmente criada que leva o usuário a um site do Portal Empresarial do Microsoft Dynamics AX de destino que, em seguida, exibe o script de volta ao navegador do usuário.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade enviando uma mensagem de email que contenha a URL especialmente criada para o usuário do site do Portal Empresarial do Microsoft Dynamics AX de destino e convencendo o usuário a clicar na URL especialmente criada.

Num cenário de ataque baseado na Web, um intruso teria de alojar um Web site que contivesse um URL especialmente concebido para o efeito para o site do Portal Empresarial do Microsoft Dynamics AX de destino utilizado para tentar explorar esta vulnerabilidade. Além disso, sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário podem conter conteúdo especialmente criado que pode explorar essa vulnerabilidade. Um invasor não teria como forçar os usuários a visitar um site especialmente criado. Em vez disso, um invasor teria que convencê-los a visitar o site, geralmente fazendo com que eles cliquem em um link em uma mensagem de email ou mensagem do Instant Messenger que os leve ao site do invasor e, em seguida, convencê-los a clicar na URL especialmente criada.

Quais são os sistemas que mais correm risco com a vulnerabilidade?
Os sistemas em que os usuários se conectam a um servidor do Portal Empresarial do Microsoft Dynamics AX 2012, como estações de trabalho ou servidores de terminal, são os que correm mais risco.

O que é o filtro XSS (Cross-site Scripting) do Internet Explorer 8 e do Internet Explorer 9?
Os ataques de script entre sites tentam explorar vulnerabilidades nos sites que você usa. Os ataques de script entre sites surgiram como uma das principais ameaças online, portanto, o Internet Explorer 8 e o Internet Explorer 9 incluem um filtro de script entre sites que pode detectar esses tipos de ataques e desabilitar os scripts prejudiciais. Por padrão, o filtro de script entre sites está ativado no Internet Explorer 8 e no Internet Explorer 9 para a Zona da Internet.

O que a atualização faz?
A atualização elimina a vulnerabilidade corrigindo a maneira como o Portal Empresarial do Microsoft Dynamics AX 2012 valida e limpa a entrada do usuário.

Quando este boletim de segurança foi emitido, esta vulnerabilidade tinha sido divulgada publicamente?
Não. A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi emitido, a Microsoft tinha recebido relatórios de que esta vulnerabilidade estava a ser explorada?
Não. A Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido usada publicamente para atacar clientes quando este boletim de segurança foi publicado originalmente.

Informações de atualização

Orientação e ferramentas de detecção e implantação

Central de Segurança

Gerencie as atualizações de software e segurança necessárias para implantar nos servidores, desktops e sistemas móveis da sua organização. Para obter mais informações, consulte o TechNet Update Management Center. O site Microsoft TechNet Security fornece informações adicionais sobre segurança em produtos Microsoft.

Essas atualizações de segurança estão disponíveis no Centro de Download da Microsoft e nos sites Microsoft Dynamics CustomerSource e Microsoft Dynamics PartnerSource. Você pode encontrá-los mais facilmente fazendo uma pesquisa de palavra-chave para "atualização de segurança".

Implantação de atualização de segurança

Softwares afetados

Para obter informações sobre a atualização de segurança específica para o software afetado, clique no link apropriado:

Portal Empresarial do Microsoft Dynamics AX 2012

Tabela de Referência

A tabela a seguir contém as informações de atualização de segurança para este software. Você pode encontrar informações adicionais na subseção Informações de implantação, nesta seção.

Informações de implantação

Instalando a atualização

Você pode instalar a atualização a partir do link de download apropriado na seção Softwares afetados e não afetados. Se você instalou o aplicativo de um local de servidor, o administrador do servidor deve atualizar o local do servidor com a atualização administrativa e implantar essa atualização em seu sistema. Para obter mais informações sobre Pontos de Instalação Administrativa, consulte as informações do Ponto de Instalação Administrativa do Office na subseção Orientação e Ferramentas de Detecção e Implantação .

Esta atualização de segurança requer que o Windows Installer 3.1 ou versão posterior esteja instalado no sistema.

Para instalar a versão 3.1 ou posterior do Windows Installer, visite um dos seguintes sites da Microsoft:

• Windows Installer 4.5 Redistribuível para Windows Server 2008, Windows Vista, Windows Server 2003 e Windows XP
• Windows Installer 3.1 Redistribuível para Windows Server 2003, Windows XP e Windows 2000

Para obter mais informações sobre a terminologia que aparece neste boletim, como hotfix, consulte o artigo 824684 da Base de Dados de Conhecimento Microsoft.

Esta atualização de segurança oferece suporte às seguintes opções de instalação.

Opções de instalação de atualização de segurança com suporte

Observação Você pode combinar essas opções em um comando. Para compatibilidade com versões anteriores, a atualização de segurança também oferece suporte a muitas das opções de instalação que a versão anterior do programa de instalação usa. Para obter mais informações sobre as opções de instalação com suporte, consulte o Artigo 262841 (em inglês) da Microsoft Knowledge Base.

Removendo a atualização

Esta atualização de segurança não pode ser removida.

Verificando se a atualização foi aplicada

• Microsoft Baseline Security Analyzer
  Para verificar se uma atualização de segurança foi aplicada a um sistema afetado, você poderá usar a ferramenta Microsoft Baseline Security Analyzer (MBSA). Consulte a seção Orientação e ferramentas de detecção e implantação, anteriormente neste boletim, para obter mais informações.

• Verificação de versão do arquivo
  Como há várias edições do Microsoft Windows, as etapas a seguir podem ser diferentes em seu sistema. Se estiverem, consulte a documentação do produto para concluir estas etapas.

  1. Clique em Iniciar e insira um nome de arquivo de atualização em Iniciar Pesquisa.
  2. Quando o arquivo aparecer em Programas, clique com o botão direito do mouse no nome do arquivo e clique em Propriedades.
  3. Na guia Geral, compare o tamanho do arquivo com as tabelas de informações de arquivo fornecidas no artigo da Base de Dados de Conhecimento do boletim.
  4. Você também pode clicar na guia Detalhes e comparar informações, como versão do arquivo e data de modificação, com as tabelas de informações de arquivo fornecidas no artigo da Base de Dados de Conhecimento do boletim.
  5. Finalmente, você também pode clicar na guia Versões Anteriores e comparar as informações do arquivo para a versão anterior do arquivo com as informações do arquivo para a versão nova ou atualizada do arquivo.

Outras Informações

Agradecimentos

A Microsoft agradece o seguinte por trabalhar conosco para ajudar a proteger os clientes:

• Finian Mackin por relatar a vulnerabilidade de XSS do Portal Empresarial do Dynamics AX (CVE-2012-1857)

Programa de Proteção Ativa da Microsoft (MAPP)

Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes de cada lançamento mensal da atualização de segurança. Os provedores de software de segurança podem usar essas informações de vulnerabilidade para fornecer proteções atualizadas aos clientes por meio de seus softwares ou dispositivos de segurança, como antivírus, sistemas de detecção de intrusão baseados em rede ou sistemas de prevenção de intrusão baseados em host. Para determinar se as proteções ativas estão disponíveis a partir de provedores de software de segurança, visite os sites de proteções ativas fornecidos por parceiros do programa, listados em Parceiros do Microsoft Active Protections Program (MAPP).

Suporte

Como obter ajuda e suporte para esta atualização de segurança

• Ajuda para instalar atualizações: Suporte para o Microsoft Update
• Soluções de segurança para profissionais de TI: Suporte e solução de problemas de segurança do TechNet
• Ajude a proteger seu computador que está executando o Windows contra vírus e malware: Central de Segurança e Solução de Vírus
• Suporte local de acordo com o seu país: Suporte Internacional

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (12 de junho de 2012): Boletim publicado.

Construído em 2014-04-18T13:49:36Z-07:00