Comunicado de Segurança da Microsoft 3109853
Atualização para melhorar a interoperabilidade de retomada de sessão TLS
Publicado em: 12 de janeiro de 2016
Versão: 1.0
Resumo executivo
A Microsoft está anunciando a disponibilidade de uma atualização para melhorar a interoperabilidade entre clientes TLS baseados em Schannel e servidores TLS de terceiros 3rd-party que permitem a retomada baseada em RFC5077 e que enviam a mensagem NewSessionTicket no handshake TLS abreviado. A atualização resolve um problema no schannel.dll que poderia fazer com que RFC5077 retomada baseada em tíquete de sessão falhasse e, subsequentemente, fizesse com que os clientes baseados em WinInet (por exemplo, Internet Explorer e Microsoft Edge) executassem um fallback para uma versão de protocolo TLS mais baixa do que aquela que teria sido negociada de outra forma. Essa melhoria faz parte dos esforços contínuos para reforçar a eficácia da criptografia no Windows.
Para obter detalhes adicionais e diretrizes de implantação, consulte o Artigo 3109853 (em inglês) da Microsoft Knowledge Base.
Softwares afetados
| Sistema operacional |
|---|
| Windows 8 para sistemas de 32 bits |
| Windows 8 para sistemas baseados em x64 |
| Windows 8.1 para sistemas de 32 bits |
| Windows 8.1 para sistemas baseados em x64 |
| Windows Server 2012 |
| Windows Server 2012 R2 |
| Windows RT |
| Windows RT 8.1 |
| Windows 10 para sistemas de 32 bits |
| Windows 10 para sistemas baseados em x64 |
| Windows 10 versão 1511 para sistemas de 32 bits |
| Windows 10 versão 1511 para sistemas baseados em x64 |
| Opção de instalação Server Core |
| Windows Server 2012 (instalação Server Core) |
| Windows Server 2012 R2 (instalação Server Core) |
Perguntas frequentes sobre o Advisory
Qual o escopo da assessoria?
Para anunciar a disponibilidade de uma atualização para melhorar a interoperabilidade entre clientes TLS baseados em Schannel e servidores TLS de terceiros 3rd-party que permitem a retomada baseada em RFC5077 e que enviam a mensagem NewSessionTicket no handshake TLS abreviado.
Isso é um problema de segurança?
Não. Esse é um problema de conformidade em relação à implementação da RFC 5077 pelo Schannel e está causando problemas de interoperabilidade.
O que a atualização faz?
A atualização resolve um problema no schannel.dll que poderia fazer com que RFC5077 retomada baseada em tíquete de sessão falhasse e, subsequentemente, fizesse com que os clientes baseados em WinInet (por exemplo, Internet Explorer e Microsoft Edge) executassem um fallback para uma versão de protocolo TLS mais baixa do que aquela que teria sido negociada de outra forma.
Agradecimentos
A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.
Outras Informações
Programa de Proteção Ativa da Microsoft (MAPP)
Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes de cada lançamento mensal da atualização de segurança. Os provedores de software de segurança podem usar essas informações de vulnerabilidade para fornecer proteções atualizadas aos clientes por meio de seus softwares ou dispositivos de segurança, como antivírus, sistemas de detecção de intrusão baseados em rede ou sistemas de prevenção de intrusão baseados em host. Para determinar se as proteções ativas estão disponíveis a partir de provedores de software de segurança, visite os sites de proteções ativas fornecidos por parceiros do programa, listados em Parceiros do Microsoft Active Protections Program (MAPP).
Feedback
- Você pode fornecer comentários preenchendo o formulário de Ajuda e Suporte da Microsoft, Atendimento ao Cliente Fale Conosco.
Suporte
- Os clientes nos Estados Unidos e no Canadá podem receber suporte técnico do Suporte de Segurança. Para obter mais informações, consulte Ajuda e Suporte da Microsoft.
- Os clientes internacionais podem receber suporte de suas subsidiárias locais da Microsoft. Para obter mais informações, consulte Suporte internacional.
- O Microsoft TechNet Security fornece informações adicionais sobre segurança em produtos Microsoft.
Aviso de isenção de responsabilidade
As informações fornecidas neste comunicado são fornecidas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.
Revisões
- V1.0 (12 de janeiro de 2016): Comunicado publicado.
Página gerada em 12/01/2016 11:46-08:00.