Microsoft Security Bulletin MS08-038 - Importante

A atenuação refere-se a uma definição, uma configuração comum ou uma prática recomendada geral, que existe num estado predefinido, que poderia reduzir a gravidade da exploração de uma vulnerabilidade. Os seguintes factores atenuantes podem ser úteis para a sua situação:

• A vulnerabilidade não pode ser automaticamente explorada através de correio electrónico. Para um ataque poder ser bem sucedido, é necessário que um utilizador abra e guarde um anexo recebido numa mensagem de correio electrónico.
• No cenário de um ataque baseado na Web, um intruso poderia alojar um Web site contendo um ficheiro de pesquisa guardada (.search-ms) mal formado. Além disso, os Web sites afectados e os Web sites que aceitam ou alojam conteúdos ou anúncios fornecidos por utilizadores poderiam conter conteúdos especialmente concebidos que poderiam explorar esta vulnerabilidade. Contudo, em qualquer dos casos, o intruso não teria forma de forçar os utilizadores a visitar estes Web sites. As tentativas de exploração desta vulnerabilidade requerem interacção com o utilizador.
• Um intruso que explorasse com sucesso esta vulnerabilidade poderia obter os mesmos privilégios que o utilizador local. Os utilizadores cujas contas estão configuradas com direitos de utilização reduzidos no sistema podem ser menos afectados do que os utilizadores que trabalham com direitos de utilização de administrador.

Uma solução alternativa refere-se a uma definição ou alteração de configuração que não corrige a vulnerabilidade subjacente, mas que ajudaria a bloquear vectores de ataque conhecidos antes de aplicar a actualização. A Microsoft testou as seguintes soluções alternativas e estados na discussão acerca de casos em que uma solução alternativa reduz a funcionalidade:

• Alterar temporariamente o tipo de ficheiros associado à extensão de ficheiros “.search-ms”. Introduza o seguinte comando numa linha de comandos com privilégios elevados:

  assoc .search-ms=xmlfile

  Impacto da solução alternativa. Os ficheiros de pesquisa guardada abrirão como ficheiros XML no Internet Explorer.

  Como anular esta solução alternativa. Introduza o seguinte comando numa linha de comandos com privilégios elevados:

  assoc .search-ms=SearchFolder

• Modificar a chave de registo para impedir que os utilizadores possam abrir ficheiros de pesquisa guardada ou acedam à pasta de pesquisas guardadas.

  Para modificar a chave de registo, siga estes passos:

  Nota A utilização incorrecta do Editor de Registo pode provocar problemas graves que poderão conduzir à reinstalação do sistema operativo. A Microsoft não pode garantir que os problemas resultantes da utilização incorrecta do Editor de Registo possam ser resolvidos. A utilização do Editor de Registo é da sua responsabilidade. Para obter informações sobre como editar o registo, deve consultar o tópico de Ajuda "Alterar Chaves e Valores" do Editor de Registo (Regedit.exe) ou os tópicos de Ajuda "Adicionar e Eliminar Informações do Registo" e "Editar Dados do Registo" do Regedt32.exe.

  1. Clique em Iniciar, clique em Executar, escreva Regedit na caixa Abrir e clique em OK.
  2. Localize e expanda a subchave de registo seguinte:
     
     HKEY_CLASSES_ROOT\SearchFolder
     
     Clique em Editar e a seguir clique em Permissões.
     
     Nota Tome nota das permissões que são apresentadas nesta caixa de diálogo, para que possa restaurar os seus valores originais mais tarde.
  3. Clique em Avançadas.
  4. Clique para limpar a caixa de verificação Incluir permissões herdáveis do principal deste objecto. É-lhe pedido que clique em Copiar, Remover, ou Cancelar. Clique em Remover e a seguir em OK.
  5. Recebe uma mensagem que o informa que nenhum utilizador poderá aceder a esta chave de registo. Clique em Sim e a seguir clique em OK para fechar a caixa de diálogo Permissões para SearchFolder.

  Impacto da solução alternativa. Os utilizadores não poderão abrir ficheiros de pesquisas guardadas ou aceder à pasta de pesquisas guardadas.

  Como anular esta solução alternativa. Reponha as permissões configuradas anteriormente na chave de registo, marcando com um clique a caixa de verificação Incluir permissões herdáveis do principal deste objecto e depois clicando em OK duas vezes.

• Anular o registo do tipo de ficheiro Procurar na Pasta.

  Para modificar a chave de registo, siga estes passos:

  Nota A utilização incorrecta do Editor de Registo pode provocar problemas graves que poderão conduzir à reinstalação do sistema operativo. A Microsoft não pode garantir que os problemas resultantes da utilização incorrecta do Editor de Registo possam ser resolvidos. A utilização do Editor de Registo é da sua responsabilidade. Para obter informações sobre como editar o registo, deve consultar o tópico de Ajuda "Alterar Chaves e Valores" do Editor de Registo (Regedit.exe) ou os tópicos de Ajuda "Adicionar e Eliminar Informações do Registo" e "Editar Dados do Registo" do Regedt32.exe.

  Utilizar o Método Interactivo

  1. Clique em Iniciar, clique em Executar, escreva Regedit na caixa Abrir e clique em OK.
  2. Localize e clique na subchave de registo seguinte:
     
     HKEY_CLASSES_ROOT\SearchFolder
  3. Clique no menu Ficheiro e seleccione Exportar.
  4. Na caixa de diálogo Exportar ficheiro de registo, introduza SearchFolder_file_association_registry_backup.reg e clique em Guardar.
     
     Nota Isto criará uma cópia de segurança desta chave de registo, que, por predefinição, ficará na pasta Os meus documentos.
  5. Prima a tecla Delete no teclado para apagar a chave de registo. Quando lhe for solicitado que elimine a chave de registo através da caixa de diálogo Confirmar Eliminação da Chave, clique em Sim.

  Utilizar a Gestão de Script de Implementação

  1. Crie uma cópia de segurança das chaves de registo utilizando a gestão de script de implementação que contém os seguintes comandos:
     
     Regedit.exe /e SearchFolder_registry_backup.reg
     HKEY_CLASSES_ROOT\SearchFolder
  2. Depois, guarde o que se segue num ficheiro com a extensão .REG, como por exemplo, Eliminar_associacao_ficheiro_ProcurarPasta.reg:
     
     Editor de registo do Windows versão 5.00
     [-HKEY_CLASSES_ROOT\SearchFolder]
  3. Execute o script de registo acima no computador visado, usando o seguinte comando numa linha de comandos com privilégios elevados:
     
     Regedit.exe /s Delete_SearchFolder_file_association.reg

  Impacto da solução alternativa. Clicar duas vezes numa pasta de pesquisas guardadas deixará de abrir uma janela que apresenta os resultados de pesquisa.

  Como anular esta solução alternativa:

  Utilizar o Método Interactivo

  1. Clique em Iniciar, clique em Executar, escreva Regedit na caixa Abrir e clique em OK.
  2. Clique no menu Ficheiro e seleccione Importar.
  3. Na caixa de diálogo Importar ficheiro de registo, seleccione SearchFolder_file_association_registry_backup.reg e clique em Abrir.

  Utilizar a Gestão de Script de Implementação

  Reponha o estado original executando o seguinte comando:
  
  Regedit.exe /s SearchFolder_registry_backup.reg

Qual é a abrangência desta vulnerabilidade?  
Esta é uma vulnerabilidade de execução remota de código. Se um utilizador tiver sessão iniciada com privilégios administrativos, um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter controlo total sobre um sistema afectado. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios. Os utilizadores cujas contas estão configuradas com menos direitos de utilização no sistema podem correr menos riscos do que os utilizadores que trabalham com direitos de utilização de administrador.

O que provoca a vulnerabilidade?  
O Explorador do Windows não analisa correctamente ficheiros de pesquisa quando estes são guardados.

O que é a Pesquisa do Windows?
A Pesquisa do Windows é um componente de série do Windows Vista e do Windows Server 2008 que está activado por predefinição. A Pesquisa do Windows permite capacidades de pesquisa instantânea dos ficheiros e tipos de dados mais comuns, como correio electrónico, contactos, calendário, agenda, documentos, fotografias, multimédia e outros formatos fornecidos por outras empresas. Estas capacidades permitem que os consumidores e os trabalhadores da informação possam encontrar, gerir e organizar de forma eficaz a crescente quantidade de dados comuns em ambientes domésticos e empresariais. Para mais informações, consulte a página inicial de Pesquisa do Windows. Embora a Pesquisa do Windows seja um suplemento para o Windows XP, estes sistemas não são afectados por esta questão.

Como poderia um intruso utilizar a vulnerabilidade?  
Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia executar código arbitrário no sistema de um utilizador. Se um utilizador tiver sessão iniciada com privilégios administrativos, um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter controlo total sobre um sistema afectado. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios. Os utilizadores cujas contas estão configuradas com menos direitos de utilização no sistema podem correr menos riscos do que os utilizadores que trabalham com direitos de utilização de administrador.

Como poderia um intruso explorar a vulnerabilidade?
Esta vulnerabilidade requer que um utilizador abra e guarde um ficheiro de pesquisa guardada especialmente concebido para o efeito numa versão afectada do Explorador do Windows.

Num cenário de ataque com base em correio electrónico, um intruso poderia explorar a vulnerabilidade enviando um ficheiro de pesquisa guardada especialmente concebido para o efeito ao utilizador e convencendo-o a abrir o ficheiro. Depois de abrir o ficheiro, o utilizador teria de guardar o ficheiro de pesquisa guardada para que a exploração ocorresse. A exploração ocorre independentemente do local em que a pesquisa é guardada.

Num cenário de ataque com base na Web, um intruso teria de alojar um Web site contendo um ficheiro de pesquisa guardada que fosse utilizado para tentar explorar esta vulnerabilidade. Além disso, os Web sites afectados e os Web sites que aceitam ou alojam conteúdos fornecidos por utilizadores poderiam conter conteúdos especialmente concebidos que poderiam explorar esta vulnerabilidade. Um intruso não conseguiria obrigar os utilizadores a visitarem um Web site especialmente concebido para o efeito. Em vez disso, um intruso teria de convencê-los a visitar o Web site, levando-os normalmente a clicar numa hiperligação presente numa mensagem de correio electrónico ou num programa de mensagens instantâneas que os levasse para o site do intruso.

Quais os sistemas mais susceptíveis face a esta vulnerabilidade?  
Os sistemas afectados são principalmente estações de trabalho e servidores de terminais. Os servidores podem estar mais sujeitos a risco se os administradores permitirem que os utilizadores iniciem sessão nos servidores e executem programas. Contudo, os procedimentos recomendados desencorajam essa acção.

O que faz a actualização?  
A actualização de segurança resolve a vulnerabilidade modificando a forma como o Explorador do Windows analisa pesquisas guardadas para validar correctamente a estrutura de conteúdos de todos os ficheiros de pesquisas guardadas.

Quando este boletim de segurança foi publicado, esta vulnerabilidade já tinha sido divulgada publicamente?  
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2008-1435. Este boletim de segurança resolve a vulnerabilidade divulgada de forma pública, além de outras questões descobertas através de investigações internas.

Quando este boletim de segurança foi publicado, a Microsoft já tinha recebido relatórios indicando que esta vulnerabilidade estava a ser explorada?  
Não. A Microsoft não tinha recebido quaisquer informações que indicassem que esta vulnerabilidade tivesse sido utilizada publicamente para atacar clientes e não tinha conhecimento de exemplos publicados de código para prova de conceito quando este boletim de segurança foi criado pela primeira vez.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção Informações de implementação, nesta secção.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção Informações de implementação, nesta secção.