Microsoft Security Bulletin MS11-039 - Crítica

O factor atenuante refere-se a uma definição, uma configuração comum ou uma prática recomendada geral, que existe num estado predefinido, que poderia reduzir a gravidade da exploração de uma vulnerabilidade. Os seguintes factores atenuantes podem ser úteis para a sua situação:

• No cenário de um ataque baseado na Web, um intruso poderia alojar um Web site contendo uma página Web que fosse utilizada para explorar esta vulnerabilidade. Além disso, os Web sites afectados e os Web sites que aceitam ou alojam conteúdos ou anúncios fornecidos por utilizadores poderiam conter conteúdos especialmente concebidos que poderiam explorar esta vulnerabilidade. Contudo, em qualquer dos casos, o intruso não teria forma de forçar os utilizadores a visitar estes Web sites. Em vez disso, um intruso teria de convencer os utilizadores a visitar o Web site, levando-os normalmente a clicar numa hiperligação presente numa mensagem de correio electrónico, ou num programa de mensagens instantâneas, que levasse o utilizador para o Web site do intruso.
• Por predefinição, o Internet Explorer no Windows Server 2003, Windows Server 2008 e Windows Server 2008 R2 é executado no modo restrito, conhecido como a Configuração de Segurança Avançada. Este modo apenas atenua esta vulnerabilidade no Windows Server 2008 e Windows Server 2008 R2, e apenas num cenário de ataque baseado na Web. Consulte a secção de Perguntas Mais Frequentes desta vulnerabilidade, para obter mais informações acerca da Configuração de Segurança Avançada do Internet Explorer.
• Um intruso que explore com sucesso esta vulnerabilidade poderia obter os mesmos privilégios que o utilizador local ou da conta de utilizador do ASP.NET. Os utilizadores ou contas de utilizador configurados para ter menos direitos de utilizador no sistema poderão sofrer menos impacto do que os utilizadores ou contas com direitos de administração.
• Num cenário de alojamento na Web, um intruso deve ter permissão para carregar páginas ASP.NET arbitrárias para um Web site e o ASP.NET tem de estar instalado nesse servidor da Web. Na configuração predefinida, um utilizador anónimo não pode carregar e executar código Microsoft .NET no Internet Information Server (IIS).

Uma solução alternativa refere-se a uma definição ou alteração de configuração que não corrige a vulnerabilidade subjacente, mas que ajudaria a bloquear vectores de ataque conhecidos antes de aplicar a actualização. A Microsoft testou as seguintes soluções alternativas e indica se a solução alternativa reduz a funcionalidade:

• Desactivar parcialmente as aplicações Microsoft .NET

  Para desactivar todas as aplicações Microsoft .NET executadas com fidedignidade parcial, incluindo aplicações de browser XAML (XBAPs) e Microsoft .NET localizadas na rede, execute os seguintes comandos a partir de uma linha de comandos elevada:

  caspol –pp off
caspol –m –resetlockdown
caspol –pp on

  Nota Tem de ter sessão iniciada como administrador ou ter credenciais administrativas para concluir esta solução alternativa.

  Impacto da solução alternativa. As aplicações Microsoft .NET podem não ser executadas.

  Como anular esta solução alternativa.

  Para repor as políticas de segurança do Microsoft .NET de acordo com as predefinições, execute os seguintes comandos a partir de uma linha de comandos elevada:

  caspol –pp off
caspol –m –reset
caspol –pp on

  Nota Tem de ter sessão iniciada como administrador ou ter credenciais administrativas para anular esta solução alternativa.

• Desactivar as aplicações de browser XAML no Internet Explorer

  Para ajudar a proteger o seu sistema contra esta vulnerabilidade, mude as definições, para que seja pedida uma confirmação antes de executar aplicações de browser XAML (XBAPs) ou para desactivar XBAPs nas zonas de segurança de Internet e de Intranet local, da seguinte forma:

  1. No Internet Explorer, clique no menu Ferramentas e seleccione Opções da Internet.
  2. Clique no separador Segurança, clique em Internet e, em seguida, clique em Personalizar nível. Em Definições, para XAML Lato, clique em Pedir ou Desactivar e, depois, clique em OK.
  3. Clique no separador Segurança, clique em Internet e, em seguida, clique em Personalizar nível. Em Definições, para Aplicações de Browser XAML, clique em Pedir ou Desactivar e, depois, clique em OK.
  4. Clique no separador Segurança, clique em Internet e, em seguida, clique em Personalizar nível. Em Definições, para Documentos XPS, clique em Pedir ou Desactivar e, depois, clique em OK.
  5. No separador Segurança, clique em Nível Personalizado. Em Componentes baseados no .NET Framework, defina Executar componentes sem assinatura Authenticode para Pedir ou Desactivar e, depois, clique em OK. Repita este passo para Executar componentes sem assinatura Authenticode e, depois, clique em OK.
  6. Clique em Intranet Local e, em seguida, clique em Personalizar Nível. Repita os passos 3 e 4. Se for pedida a confirmação das alterações nas definições, clique em Sim. Clique em OK para voltar ao Internet Explorer.

  Impacto da solução alternativa. O código Microsoft .NET não será executado no Internet Explorer nem será executado sem confirmação. Desactivar as aplicações e componentes Microsoft .NET nas zonas de segurança da Internet e Intranet local pode fazer com que alguns Web sites não funcionem correctamente. Se tiver dificuldade em usar o Web site depois de alterar esta definição e tiver a certeza de que o site é seguro, pode adicionar esse site à sua lista de Sites fidedignos. Isto fará com que o site funcione correctamente.

  Adicione sites que considere fidedignos à Zona de sites fidedignos do Internet Explorer

  Depois de definir o Internet Explorer para requerer solicitação antes de executar controlos ActiveX e Scripts Activos nas zonas da Internet e da Intranet Local, pode adicionar sites que considere fidedignos à Zona de sites fidedignos do Internet Explorer. Isto irá permitir que continue a utilizar os Web sites fidedignos da mesma forma que actualmente, enquanto ajuda a proteger-se contra este ataque em sites não fidedignos. A Microsoft recomenda que adicione à Zona de sites fidedignos unicamente sites que considere fidedignos.

  Para isso, execute os passos seguintes:

  1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique no separador Segurança.
  2. Na caixa Seleccione uma zona de conteúdo da Web para especificar as respectivas definições de segurança, clique em Sites Fidedignos e, em seguida, clique em Sites.
  3. Se quiser adicionar sites que não precisam de um canal encriptado, desmarque a caixa de verificação Pedir verificação de servidor (https:) para todos os sites desta zona.
  4. Na caixa Adicionar este Web site à zona escreva o URL do site que considera fidedigno e, em seguida, clique em Adicionar.
  5. Repita estes passos para cada site que pretenda adicionar à zona.
  6. Clique duas vezes em OK para aceitar as alterações e voltar ao Internet Explorer.

  Nota Adicione sites que considera fidedignos de não provocarem acções maliciosas no seu sistema. Dois dos que poderá querer adicionar são o *.windowsupdate.microsoft.com e o *.update.microsoft.com. São estes os sites que vão alojar a actualização e necessitam de um controlo ActiveX para instalar a actualização.

  Como anular esta solução alternativa. Siga os seguintes passos:

  1. No Internet Explorer, clique no menu Ferramentas e seleccione Opções da Internet.
  2. Clique no separador Segurança, clique em Repor todas as zonas para o nível predefinido e clique em OK.
• Impedir temporariamente que o controlo ActiveX do Microsoft Silverlight seja executado no Internet Explorer (Método 1)

  Pode ajudar a proteger o seu sistema contra estas vulnerabilidades impedindo temporariamente tentativas de instanciar o Controlo ActiveX do Silverlight no Internet Explorer definindo o kill bit para o controlo.

  Aviso Se utilizar o Editor de Registo incorrectamente, pode causar problemas sérios que podem vir a obrigar à reinstalação do seu sistema operativo. A Microsoft não pode garantir que consiga resolver problemas que resultam da utilização incorrecta do Editor de Registo. A utilização do Editor de Registo é da sua responsabilidade.

  Recomendamos a realização de uma cópia de segurança do registo antes de o editar.

  Utilize o seguinte texto para criar um ficheiro .reg que impede temporariamente tentativas de instanciar o controlo ActiveX do Silverlight no Internet Explorer. Pode copiar o texto seguinte, colá-lo num editor de texto como o Notepad e, em seguida, guardar o ficheiro com a extensão de nome de ficheiro .reg. Execute o ficheiro .reg no cliente vulnerável.

  Editor de registo do Windows versão 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{DFEAF541-F3E1-4C24-ACAC-99C30715084A}]
"Compatibility Flags"=dword:00000400

  Feche o Internet Explorer e volte a abri-lo para que as alterações tenham efeito.

  Para saber os passos detalhados para fazer com que um comando não seja executado no Internet Explorer, consulte o Artigo 240797 da Base de Dados de Conhecimento da Microsoft. Siga estes passos e crie um valor Compatibility Flags no Registo para impedir que o controlo ActiveX do Silverlight seja executado no Internet Explorer.

  Impacto da solução alternativa. As aplicações e os Web sites que necessitam do controlo ActiveX do Microsoft Silverlight poderão deixar de funcionar correctamente. Se implementar esta solução alternativa, isto irá afectar qualquer controlo ActiveX do Microsoft Silverlight que esteja instalado no seu sistema.

  Como anular esta solução alternativa. Remova as chaves de registo adicionadas para impedir temporariamente tentativas de instanciar o Controlo ActiveX do Silverlight no Internet Explorer.

• Impedir temporariamente que o controlo ActiveX do Microsoft Silverlight seja executado no Firefox ou Chrome

  Para modificar a chave de registo de modo a desactivar o Microsoft Silverlight, siga estes passos:

  Nota A utilização incorrecta do Editor de Registo pode provocar problemas graves que poderão conduzir à reinstalação do sistema operativo. A Microsoft não pode garantir que os problemas resultantes da utilização incorrecta do Editor de Registo possam ser resolvidos. A utilização do Editor de Registo é da sua responsabilidade. Para obter informações sobre como editar o registo, deve consultar o tópico de Ajuda "Alterar Chaves e Valores" do Editor de Registo (Regedit.exe) ou os tópicos de Ajuda "Adicionar e Eliminar Informações do Registo" e "Editar Dados do Registo" do Regedt32.exe.

  • Utilizar o Método Interactivo
    1. Clique em Iniciar, clique em Executar, escreva Regedit na caixa Abrir e clique em OK.
    2. Localize e clique na subchave de registo seguinte:
       
       HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0
    3. Clique com o botão direito em @Microsoft.com/NpCtrl,version=1.0 e seleccione Exportar. Guarde o ficheiro no disco.
    4. Elimine completamente a chave @Microsoft.com/NpCtrl,version=1.0.
    5. Saia do editor de registo.
  • Utilizar um ficheiro de registo
    1. Crie uma cópia de segurança das chaves de registo. Pode ser feita uma cópia de segurança utilizando a gestão de scripts de implementação com o seguinte comando:
       
       Regedit.exe /e SL_backup.reg HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0
    2. Guarde o que se segue num ficheiro com a extensão .REG (por exemplo: Disable_Silverlight.reg):
       
       Editor de registo do Windows versão 5.00
       [-HKEY_LOCAL_MACHINE\SOFTWARE\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0]
    3. Execute o script de registo criado no passo 2 acima no sistema visado, com o seguinte comando:
       Regedit /s Disable_Silverlight.reg

  Como anular esta solução alternativa.

  • Utilizar o Método Interactivo
    1. Clique em Iniciar, clique em Executar, escreva Regedit na caixa Abrir e clique em OK.
    2. No menu Ficheiro, clique em Importar.
    3. Em Procurar em, seleccione a unidade, a pasta ou o computador em rede e a pasta onde se encontra o ficheiro previamente exportado.
    4. Seleccione o nome de ficheiro correcto e clique em Abrir.
  • Utilizar a Gestão de Script de Implementação

    Restaure o ficheiro do qual foi feita uma cópia de segurança acima, no Passo 1 de Utilizar um ficheiro de registo, com o seguinte comando:
    
    Regedit /s SL_backup.reg

Qual é a abrangência desta vulnerabilidade? 
Esta é uma vulnerabilidade de execução remota de código. Um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter o controlo total de um sistema afectado. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios.

O que provoca a vulnerabilidade? 
A vulnerabilidade é provocada quando o .NET Framework e o Microsoft Silverlight validam incorrectamente argumentos transmitidos para funções de rede integradas.

Como poderia um intruso utilizar a vulnerabilidade? 
Num cenário de navegação na Web, um intruso que conseguisse explorar esta vulnerabilidade com sucesso poderia obter as mesmas permissões que o utilizador com sessão iniciada no momento. Se um utilizador tiver sessão iniciada com direitos de utilizador administrativos, um intruso poderia obter controlo total sobre o sistema afectado. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios. Os utilizadores cujas contas estão configuradas com menos direitos de utilização no sistema podem correr menos riscos do que os utilizadores que trabalham com direitos de utilização de administrador.

No cenário de alojamento na Web, um intruso que conseguisse explorar esta vulnerabilidade com sucesso poderia obter as mesmas permissões que a conta de serviço associada à identidade do conjunto aplicacional do conjunto aplicacional em que é executada uma aplicação Microsoft .NET. Dependendo de configuração de isolamento do conjunto aplicacional e das permissões concedidas à conta de serviço, um intruso poderia obter o controlo de outros conjuntos aplicacionais no servidor da Web ou poderia ter controlo total sobre o sistema afectado. Para mais informações sobre identidades e configuração de conjuntos aplicacionais, consulte o artigo TechNet sobre como Configurar a Identidade de Conjuntos Aplicacionais.

Como poderia um intruso explorar a vulnerabilidade? 
Existem três cenários possíveis para exploração desta vulnerabilidade: um cenário de navegação na Web, um cenário de alojamento na Web e um cenário em que a aplicação Windows .NET ignora as restrições de Segurança de Acesso a Código (CAS). Estes cenários são descritos da seguinte forma:

• Cenário de navegação na Web
  Um intruso poderia alojar um Web site especialmente concebido para o efeito que contivesse um XBAP (aplicação de browser de XAML) especialmente concebido para o efeito que poderia explorar esta vulnerabilidade e convencer um utilizador a ver o Web site. O intruso também poderia tirar partido de Web sites corrompidos ou Web sites que aceitam ou alojam conteúdos ou anúncios fornecidos pelo utilizador. Estes Web sites podem conter conteúdos especialmente concebidos para o efeito, que poderiam explorar esta vulnerabilidade. Contudo, em qualquer dos casos, o intruso não teria forma de forçar os utilizadores a visitar estes Web sites. Em vez disso, o intruso teria de persuadir os utilizadores a visitar o Web site, levando-os normalmente a clicar numa hiperligação numa mensagem de correio electrónico, ou num pedido de mensagem instantânea que leva o utilizador para o Web site do intruso. Também poderia ser possível exibir conteúdos Web nocivos especialmente concebidos para o efeito, usando espaços de publicidade como banners, ou usando outros métodos para entregar conteúdos Web a sistemas afectados.
• Cenário de alojamento na Web
  Se um ambiente de alojamento na Web permite que os utilizadores carreguem aplicações ASP.NET personalizadas, um intruso poderia carregar uma aplicação ASP .NET maliciosa que utiliza esta vulnerabilidade para quebrar a protecção utilizada para evitar que o código ASP.NET execute acções prejudiciais no sistema de servidor.
• Aplicações Windows .NET
  Esta vulnerabilidade também poderia ser utilizada por aplicações Windows .NET para ignorar restrições de Segurança de Acesso a Código (CAS).

O que é uma Aplicação de Browser XAML (XBAP)? 
Uma aplicação de browser XAML (XBAP) combina funcionalidades de uma aplicação Web e de uma aplicação cliente avançada. Tal como as aplicações Web, os XBAPs podem ser publicados num servidor da Web e iniciados a partir do Internet Explorer. Tal como as aplicações cliente avançadas, os XBAPs podem tirar proveito das capacidades do Windows Apresentação Foundation (WPF). Para mais informações sobre as aplicações XBAP, consulte o artigo MSDN Descrição Geral das Aplicações de Browser XAML do Windows Presentation Foundation.

O que são Restrições de Segurança de Acesso a Código (CAS) do .NET Framework? 
O .NET Framework fornece um mecanismo de segurança designado de segurança de acesso a código para ajudar a proteger os sistemas informáticos contra código móvel malicioso, para permitir que o código de origens desconhecidas seja executado com protecção e para ajudar a impedir que a segurança do código fidedigno seja intencionalmente ou acidentalmente comprometida. A segurança de acesso a código (CAS) permite vários níveis de confiança no código, dependendo da origem do código e de outros aspectos de identidade do mesmo. A segurança de acesso a código também aplica os vários níveis de confiança ao código, reduzindo a quantidade de código totalmente fiável para execução. A utilização da segurança de acesso a código pode reduzir a probabilidade de o seu código ser mal utilizado por códigos maliciosos ou cheios de erros. Para obter mais informações sobre a CAS, consulte o artigo MSDN sobre Segurança de Acesso a Código.

O que é o Microsoft Silverlight? 
O Microsoft Silverlight é uma aplicação que funciona em diferentes browsers e aplicações do Microsoft. NET Framework para construir experiências multimédia e aplicações interactivas ricas para a Web. Para obter mais informações, consulte o site oficial do Microsoft Silverlight.

Quais os sistemas mais susceptíveis face a esta vulnerabilidade? 
Existem três tipos de sistemas susceptíveis a esta vulnerabilidade, conforme se descreve: sistemas que utilizam o cenário de navegação na Web, sistemas que utilizam o cenário de alojamento na Web e sistemas que utilizam o cenário de aplicações Windows .NET.

• Cenário de navegação na Web
  A exploração com sucesso desta vulnerabilidade requer que um utilizador tenha sessão iniciada e que visite Web sites utilizando um browser da Web capaz de instanciar XBAPs. Deste modo, qualquer sistema onde seja frequentemente utilizado um browser da Web, como as estações de trabalho ou servidores de terminal dos utilizadores, está mais susceptível a esta vulnerabilidade. Os servidores poderão estar mais susceptíveis, caso os administradores permitam que os utilizadores naveguem e leiam o correio electrónico nos servidores. Contudo, os procedimentos recomendados desencorajam essa acção.
• Cenário de alojamento na Web
  Os sites de alojamento da Web que permitem que os utilizadores carreguem aplicações ASP.NET personalizadas estão mais susceptíveis.
• Aplicações Windows .NET
  As estações de trabalho e servidores que executam aplicações Windows .NET não fidedignas também estão susceptíveis a esta vulnerabilidade.

Tenho o Internet Explorer para o Windows Server 2008 ou Windows Server 2008 R2. Isso atenua esta vulnerabilidade? 
Sim. Por predefinição, o Internet Explorer no Windows Server 2008 e Windows Server 2008 R2 é executado no modo restrito, conhecido como a Configuração de Segurança Avançada. A Configuração de Segurança Avançada do Internet Explorer é um grupo de definições pré-configuradas do Internet Explorer que reduz a probabilidade de um utilizador ou de um administrador transferir e executar num servidor conteúdos da Web especialmente concebidos para o efeito. Este é um factor atenuante para Web sites que não adicionou à Zona de sites fidedignos do Internet Explorer.

O que faz a actualização? 
A actualização resolve a vulnerabilidade corrigindo a forma como o .NET Framework valida valores transmitidos a APIs fidedignas.

Quando este boletim de segurança foi publicado, esta vulnerabilidade já tinha sido divulgada publicamente? 
Não. A Microsoft recebeu informações sobre esta vulnerabilidade através de divulgação coordenada de vulnerabilidades.

Quando este boletim de segurança foi publicado, a Microsoft já tinha recebido informações sobre a exploração desta vulnerabilidade? 
Não. A Microsoft ainda não tinha recebido informações que indicassem que esta vulnerabilidade tivesse sido utilizada publicamente para atacar clientes, quando este boletim de segurança foi publicado pela primeira vez.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção, Informações de Implementação, neste secção.

Nota Para versões do Windows XP Professional x64 Edition suportadas, esta actualização de segurança é a mesma que para as versões do Windows Server 2003 x64 Edition suportadas.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção Informações de Implementação, nesta secção.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção Informações de Implementação, nesta secção.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção Informações de Implementação, nesta secção.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção Informações de Implementação, nesta secção.

Tabela de referência

A tabela seguinte contém a informação sobre a actualização de segurança para este software. Pode encontrar informações adicionais na subsecção Informações de Implementação, nesta secção.