Microsoft Security Bulletin MS14-080 - Crítica

Atualização de segurança cumulativa para o Internet Explorer (3008923)

Publicado: terça-feira, 9 de dezembro de 2014 | Atualizado: April 14, 2015

Versão: 3.0

Resumo executivo

Esta atualização de segurança elimina quatorze vulnerabilidades relatadas em particular no Internet Explorer. A mais grave dessas vulnerabilidades pode permitir a execução remota de código se um usuário exibir uma página da Web especialmente criada usando o Internet Explorer. Um invasor que explorar com êxito essas vulnerabilidades poderá obter os mesmos direitos de usuário que o usuário atual. Os clientes cujas contas estão configuradas para ter menos direitos de usuário no sistema podem ser menos afetados do que aqueles que operam com direitos de usuário administrativo.

Esta atualização de segurança é classificada como Crítica para Internet Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) e Internet Explorer 11 (IE 11) em clientes Windows afetados e Moderada para Internet Explorer 6 (IE 6), Internet Explorer 7 (IE 7), Internet Explorer 8 (IE 8), Internet Explorer 9 (IE 9), Internet Explorer 10 (IE 10) e Internet Explorer 11 (IE 11) em servidores Windows afetados. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina as vulnerabilidades modificando a maneira como o Internet Explorer manipula objetos na memória, impedindo que o filtro XSS no Internet Explorer desabilite incorretamente atributos HTML, ajudando a garantir que as versões afetadas do Internet Explorer implementem corretamente o recurso de segurança ASLR e modificando como o mecanismo de script VBScript manipula objetos na memória. Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3008923 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

Softwares afetados 

^[1]Os clientes que executam o Internet Explorer 10 no Windows 8, Windows Server 2012 ou Windows RT devem instalar as duas atualizações (3008923 e 3029449).

^[2]Esta actualização está disponível através do Windows Update.

Observação Para sistemas que executam o Internet Explorer 9 ou posterior, CVE-2014-6363 é abordado por esta atualização (3008923). Para todas as outras versões afetadas do Internet Explorer, o CVE-2014-6363 é abordado pela atualização descrita no boletim MS14-084. Para obter mais informações, consulte as Perguntas frequentes sobre atualização.

Observação O Windows Technical Preview e o Windows Server Technical Preview são afetados. Os clientes que executam esses sistemas operacionais são incentivados a aplicar a atualização, que está disponível por meio do Windows Update. 

Perguntas frequentes sobre atualizações

Para abordar o CVE-2014-6363, qual atualização se aplica ao meu sistema?
CVE-2014-6363 é uma vulnerabilidade no mecanismo de script VBScript. Embora o vetor de ataque seja através do Internet Explorer, esta vulnerabilidade é abordada por esta atualização (3008923) apenas para sistemas que executam o Internet Explorer 9, Internet Explorer 10 e Internet Explorer 11. Para o Internet Explorer 8 e versões anteriores e para sistemas sem o Internet Explorer instalado, esta vulnerabilidade é corrigida pela atualização descrita no boletim MS14-084.

A atualização que aborda CVE-2014-6363 depende da versão do mecanismo de script VBScript instalada no sistema. Consulte a tabela a seguir para obter informações de atualização.

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de dezembro.

Na tabela a seguir, Onde especificado, os valores Crítico, Importante e Moderado indicam classificações de gravidade. Para obter mais informações, consulte Sistema de classificação de gravidade do boletim de segurança. Quando especificado, as abreviaturas indicadas na seguinte chave indicam o impacto máximo:

Classificações de gravidade e impacto

Informações de vulnerabilidade

Várias vulnerabilidades de corrupção de memória no Internet Explorer

Existem vulnerabilidades de execução remota de código quando o Internet Explorer acessa incorretamente objetos na memória. Essas vulnerabilidades podem corromper a memória de tal forma que um invasor possa executar código arbitrário no contexto do usuário atual. A atualização elimina as vulnerabilidades modificando a maneira como o Internet Explorer manipula objetos na memória.

Um intruso poderia alojar um Web site especialmente concebido para o efeito, concebido para explorar estas vulnerabilidades através do Internet Explorer e, em seguida, convencer um utilizador a visualizar o Web site. O invasor também pode tirar proveito de sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios, adicionando conteúdo especialmente criado que pode explorar essas vulnerabilidades. Em todos os casos, no entanto, um invasor não teria como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, um invasor teria que convencer os usuários a agir, geralmente fazendo com que eles cliquem em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leva os usuários ao site do invasor, ou fazendo com que eles abram um anexo enviado por email.

Um invasor que explorar com êxito essas vulnerabilidades poderá obter os mesmos direitos de usuário que o usuário atual. Se o usuário atual estiver conectado com direitos administrativos, um invasor que explorar com êxito essas vulnerabilidades poderá assumir o controle total de um sistema afetado. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais. Os sistemas em que o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, correm mais risco com essas vulnerabilidades.

A atualização elimina as vulnerabilidades modificando a maneira como o Internet Explorer manipula objetos na memória.

A tabela a seguir contém links para a entrada padrão de cada vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para essas vulnerabilidades.

Soluções Alternativas

A Microsoft não identificou nenhuma solução alternativa para essas vulnerabilidades.

Perguntas frequentes

Estou executando o Internet Explorer no Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 ou Windows Server 2012 R2. Isso mitiga essas vulnerabilidades? 
Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 e Windows Server 2012 R2 é executado em um modo restrito conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações pré-configuradas no Internet Explorer que pode reduzir a probabilidade de um usuário ou administrador baixar e executar conteúdo da Web especialmente criado em um servidor. Esse é um fator atenuante para sites que você não adicionou à zona de sites confiáveis do Internet Explorer.

O EMET ajuda a mitigar ataques que poderiam tentar explorar essas vulnerabilidades? 
Sim. O Enhanced Mitigation Experience Toolkit (EMET) permite que os usuários gerenciem tecnologias de mitigação de segurança que ajudam a dificultar a exploração de vulnerabilidades em um determinado software. O EMET ajuda a mitigar essas vulnerabilidades no Internet Explorer em sistemas onde o EMET está instalado e configurado para funcionar com o Internet Explorer.

Para obter mais informações sobre o EMET, consulte The Enhanced Mitigation Experience Toolkit.

Várias vulnerabilidades de desvio de filtro XSS no Internet Explorer

Existem vulnerabilidades de desvio de filtro XSS na maneira como o Internet Explorer desabilita um atributo HTML em dados de resposta HTTP adequadamente filtrados. As vulnerabilidades podem permitir que scripts inicialmente desabilitados sejam executados no contexto de segurança errado, levando à divulgação de informações.

Um intruso poderia publicar num Web site conteúdo especialmente concebido para explorar esta vulnerabilidade. O invasor teria que convencer o usuário a exibir o conteúdo no site afetado. Se o usuário navegar para o site, o filtro XSS desabilitará os atributos HTML no conteúdo especialmente criado, criando uma condição que pode permitir que scripts mal-intencionados sejam executados no contexto de segurança errado, levando à divulgação de informações.

Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia fazer com que o código de script fosse executado no sistema de outro utilizador disfarçado de Web site de terceiros. Esse código de script seria executado dentro do navegador ao visitar o site de terceiros e poderia tomar qualquer ação no sistema do usuário que o site de terceiros tivesse permissão para tomar. A vulnerabilidade só poderia ser explorada se o usuário clicasse em um link de hipertexto, em um e-mail HTML ou se o usuário visitasse o site de um invasor ou um site contendo conteúdo que esteja sob o controle do invasor. Todos os sistemas em que o Internet Explorer é usado com frequência, como estações de trabalho e servidores de terminal, correm mais risco com essa vulnerabilidade.

A atualização elimina a vulnerabilidade, impedindo que o filtro XSS no Internet Explorer desabilite incorretamente atributos HTML.

A tabela a seguir contém links para a entrada padrão de cada vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para essas vulnerabilidades.

Soluções Alternativas

A Microsoft não identificou nenhuma solução alternativa para essas vulnerabilidades.

Vulnerabilidade de desvio de ASLR do Internet Explorer - CVE-2014-6368

Existe uma vulnerabilidade de desvio de recurso de segurança quando o Internet Explorer não usa o recurso de segurança ASLR (Address Space Layout Randomization), permitindo que um invasor preveja de forma mais confiável os deslocamentos de memória de instruções específicas em uma determinada pilha de chamadas. O invasor que explorar com êxito essa vulnerabilidade poderá ignorar o recurso de segurança ASLR (Address Space Layout Randomization), que ajuda a proteger os usuários contra uma ampla classe de vulnerabilidades. O desvio do recurso de segurança por si só não permite a execução arbitrária de código. No entanto, um invasor pode usar essa vulnerabilidade de desvio de ASLR em conjunto com outra vulnerabilidade, como uma vulnerabilidade de execução remota de código, que pode aproveitar o desvio de ASLR para executar código arbitrário. Por exemplo, uma vulnerabilidade de execução remota de código bloqueada pelo ASLR pode ser explorada após um desvio de ASLR bem-sucedido.

Em um cenário de navegação na Web, a exploração bem-sucedida desta vulnerabilidade requer que um usuário esteja conectado e executando uma versão afetada do Internet Explorer. Portanto, todos os sistemas em que um navegador da Web é usado com frequência, como estações de trabalho ou servidores de terminal, correm mais risco com essa vulnerabilidade. Os servidores podem correr mais riscos se os administradores permitirem que os usuários naveguem e leiam emails nos servidores. No entanto, as práticas recomendadas desencorajam fortemente a permissão disso.

A atualização elimina a vulnerabilidade, ajudando a garantir que as versões afetadas do Internet Explorer implementem corretamente o recurso de segurança ASLR.

A tabela a seguir contém links para a entrada padrão de cada vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Vulnerabilidade de corrupção de memória do VBScript - CVE-2014-6363

Existe uma vulnerabilidade de execução remota de código na maneira como o mecanismo VBScript , quando renderizado no Internet Explorer, manipula objetos na memória. A vulnerabilidade pode corromper a memória de tal forma que um invasor possa executar código arbitrário no contexto do usuário atual.

Um intruso poderia alojar um Web site especialmente concebido para o efeito, concebido para explorar esta vulnerabilidade através do Internet Explorer e, em seguida, convencer um utilizador a visualizar o Web site. Um invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospeda o mecanismo de renderização do IE. O invasor também pode tirar proveito de sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios, adicionando conteúdo especialmente criado que pode explorar essa vulnerabilidade. Em todos os casos, no entanto, um invasor não teria como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, um invasor teria que convencer os usuários a agir, geralmente fazendo com que eles cliquem em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leva os usuários ao site do invasor ou abrindo um anexo enviado por email.

Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia obter os mesmos direitos de utilizador que o utilizador actual. Se o usuário atual estiver conectado com direitos administrativos, um invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais. Os sistemas nos quais o Internet Explorer é usado com frequência, como estações de trabalho ou servidores de terminal, correm mais risco com essa vulnerabilidade.

A atualização elimina a vulnerabilidade modificando como o mecanismo de script VBScript manipula objetos na memória.

A tabela a seguir contém links para a entrada padrão de cada vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Perguntas frequentes

**Estou executando o Internet Explorer para Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 ou Windows Server 2012 R2. Isso atenua essa vulnerabilidade? 
**Sim. Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 e Windows Server 2012 R2 é executado em um modo restrito conhecido como Configuração de Segurança Reforçada. A Configuração de Segurança Reforçada é um grupo de configurações pré-configuradas no Internet Explorer que pode reduzir a probabilidade de um usuário ou administrador baixar e executar conteúdo da Web especialmente criado em um servidor. Esse é um fator atenuante para sites que você não adicionou à zona de sites confiáveis do Internet Explorer.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (9 de dezembro de 2014): Boletim publicado.
• V2.0 (13 de janeiro de 2015): Para resolver problemas com a Atualização de Segurança 3008923, a Microsoft relançou o boletim MS14-080 para abordar de forma abrangente o CVE-2014-6363. Além de instalar o Update 3008923, os clientes que executam o Internet Explorer 10 no Windows 8, Windows Server 2012 ou Windows RT também devem instalar o 3029449 de atualização, que foi adicionado com este relançamento. Os clientes que já instalaram com êxito a atualização 3008923, que não foi alterada desde sua versão original, não precisam reinstalá-la. Consulte o Artigo 3008923 da Base de Dados de Conhecimento Microsoft para obter mais informações.
• V3.0 (14 de abril de 2015): Para resolver de forma abrangente problemas com a atualização de segurança 3008923, os clientes que executam o Internet Explorer 11 no Windows 7 ou no Windows Server 2008 R2 também devem instalar a atualização de segurança 3038314 lançada em 14 de abril de 2015. Para obter mais informações, consulte MS15-032 ou use os seguintes links do Centro de Download da Microsoft para sua configuração específica:
  • Internet Explorer 11 no Windows 7 para sistemas de 32 bits (3038314)
  • Internet Explorer 11 no Windows 7 para sistemas baseados em x64 Service Pack 1 (3038314)
  • Internet Explorer 11 no Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1 (3038314)

Página gerada em 09/04/2015 15:17Z-07:00.