Microsoft Security Bulletin MS15-010 - Crítica

Vulnerabilidades no driver do modo kernel do Windows podem permitir a execução remota de código (3036220)

Publicado: terça-feira, 10 de fevereiro de 2015 | Atualizado: February 18, 2015

Versão: 1.1

Resumo executivo

Esta atualização de segurança elimina uma vulnerabilidade divulgada publicamente e cinco relatadas em particular no Microsoft Windows. A mais grave das vulnerabilidades pode permitir a execução remota de código se um invasor convencer um usuário a abrir um documento especialmente criado ou visitar um site não confiável que contenha fontes TrueType incorporadas.

Esta atualização de segurança é classificada como Crítica para todas as edições com suporte do Windows 7, Windows Server 2008 R2, Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2 e Windows RT 8.1; ele é classificado como Importante para todas as edições com suporte do Windows Server 2003, Windows Vista e Windows Server 2008. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina as vulnerabilidades corrigindo como o driver do modo kernel do Windows valida determinados parâmetros em relação a objetos registrados, valida e impõe níveis de representação, manipula objetos na memória, valida dados retornados de funções de modo de usuário antes de serem executados, manipula a verificação de erros de fonte TrueType e verifica as larguras das fontes antes de carregar fontes na memória. Para obter mais informações sobre a vulnerabilidade, consulte a seção Informações sobre a vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3036220 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

Observação A atualização 3013455 está disponível para o Windows Technical Preview e o Windows Server Technical Preview. Os clientes que executam esses sistemas operacionais são incentivados a aplicar a atualização por meio do Windows Update. ^[1]Esta actualização está disponível apenas através do Windows Update .

Perguntas frequentes sobre atualizações

Para a atualização 3013455, por que há dois pacotes nas páginas do Centro de Download da Microsoft para edições afetadas do Windows Server 2003, Windows Server 2008 e Windows Vista?  Uma atualização adicional não relacionada à segurança foi implementada para edições afetadas do Windows Server 2003, Windows Server 2008 e Windows Vista para resolver problemas com degradação da qualidade do texto que alguns clientes experimentaram após a instalação da atualização 3013455. Observe que o pacote adicional (3037639) não é necessário para ser protegido contra as vulnerabilidades abordadas pela atualização 3013455; ele simplesmente corrige o problema de qualidade do texto. Os clientes também devem estar cientes de que a atualização do 3037639 requer uma reinicialização do sistema após a instalação.

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de fevereiro.

^[1]Esta actualização está disponível apenas através do Windows Update .

Informações de vulnerabilidade

Vulnerabilidade de elevação de privilégio do Win32k - CVE-2015-0003

Existe uma vulnerabilidade de elevação de privilégio no driver de modo kernel (Win32k.sys) do Windows que é causada quando ele manipula incorretamente objetos na memória. Um invasor que explore com êxito essa vulnerabilidade pode obter privilégios elevados. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos administrativos completos. A atualização elimina a vulnerabilidade corrigindo como o driver de modo kernel valida determinados parâmetros em relação a objetos registrados.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

Os seguintes fatores atenuantes podem ser úteis em sua situação:

• Um intruso tem de ter credenciais de início de sessão válidas e ser capaz de iniciar sessão localmente para explorar esta vulnerabilidade.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Configurar uma entrada do Registro para desabilitar o mapeamento de página NULL (somente Windows 7)

  Observação Usar o Editor do Registro incorretamente pode causar problemas sérios que podem exigir a reinstalação do sistema operacional. A Microsoft não garante que problemas resultantes do uso incorreto do Editor do Registro possam ser solucionados. Use o Editor do Registro por sua conta e risco. Para obter informações sobre como editar o Registro, consulte o tópico da Ajuda "Alterando chaves e valores" no Editor do Registro (Regedit.exe) ou exiba os tópicos da Ajuda "Adicionar e excluir informações no Registro" e "Editar dados do Registro" no Regedt32.exe.

  1. Abra o Editor do Registro.

  2. Localize e clique na seguinte subchave do Registro:

     HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
     

  3. No menu Editar , clique em novo e, em seguida, clique em DWORD .

  4. Digite EnableLowVaAccess e, em seguida, pressione ENTER.

  5. No menu Editar, clique em Modificar para modificar a entrada do Registro EnableLowAvAccess.

  6. Na caixa dados do valor , digite 0 e, em seguida, clique em OK .

  7. Saia do Editor do Registro.

  8. Reinicie o sistema.   

  Impacto da solução alternativa. Alguns aplicativos de 16 bits podem não funcionar conforme o esperado.

  **Como desfazer a solução alternativa. **

  1. Abra o Editor do Registro.

  2. Localize e clique na seguinte subchave do Registro:

     HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
     

  3. No menu Editar, clique em Excluir.

  4. Clique em Sim quando solicitado.

  5. Saia do Editor do Registro.

  6. Reinicie o sistema. 

Vulnerabilidade de desvio do recurso de segurança do CNG - CVE-2015-0010

Existe uma vulnerabilidade de desvio de recurso de segurança no driver de modo kernel (cng.sys) CNG (Cryptography Next Generation) quando ele não consegue validar e impor corretamente os níveis de representação. Um invasor pode explorar essa vulnerabilidade convencendo um usuário a executar um aplicativo especialmente criado projetado para fazer com que o CNG valide incorretamente os níveis de representação, potencialmente permitindo que o invasor obtenha acesso a informações além do nível de acesso do usuário local. A atualização de segurança elimina a vulnerabilidade corrigindo como o driver de modo kernel valida e impõe níveis de representação.

Esta vulnerabilidade foi divulgada publicamente. Ela recebeu o número CVE-2015-2010 da lista Common Vulnerability and Exposure. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.  

Vulnerabilidade de elevação de privilégio do Win32k - CVE-2015-0057

Existe uma vulnerabilidade de elevação de privilégio no driver de modo kernel (Win32k.sys) do Windows que é causada quando ele manipula incorretamente objetos na memória. Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia obter privilégios elevados e ler quantidades arbitrárias de memória do kernel. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos administrativos completos.

Para explorar a vulnerabilidade, um invasor primeiro teria que fazer logon no sistema. Um invasor pode então executar um aplicativo especialmente criado projetado para elevar privilégios. A atualização elimina a vulnerabilidade corrigindo como o driver de modo kernel manipula objetos na memória.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.  

Vulnerabilidade de liberação dupla de objeto do cursor do Windows - CVE-2015-0058

Existe uma vulnerabilidade de elevação de privilégio no driver de modo kernel (win32k.sys) do Windows devido a uma condição de liberação dupla. O invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário no modo kernel.

O invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário no modo kernel. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos administrativos completos. Para explorar a vulnerabilidade, um invasor primeiro teria que fazer logon no sistema. Um invasor pode então executar um aplicativo especialmente criado projetado para elevar privilégios. A atualização elimina a vulnerabilidade corrigindo como o driver do modo kernel valida os dados retornados das funções do modo de usuário antes de serem executados.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Vulnerabilidade de execução remota de código na análise de fonte TrueType - CVE-2015-0059

Existe uma vulnerabilidade de execução remota de código no driver (Win32k.sys) de modo kernel do Windows que é causada quando ele manipula incorretamente fontes TrueType.

O invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário no modo kernel. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos administrativos completos. Para explorar a vulnerabilidade, um invasor precisaria convencer um usuário a abrir um documento especialmente criado ou visitar um site não confiável que contenha fontes TrueType incorporadas. A atualização elimina a vulnerabilidade corrigindo como o driver de modo kernel manipula fontes TrueType.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Negar acesso ao T2EMBED.DLL

  Para sistemas de 32 bits, insira os seguintes comandos em um prompt de comando administrativo:

  Takeown.exe /f "%windir%\system32\t2embed.dll"
  Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)
  

  Para sistemas de 64 bits, insira os seguintes comandos em um prompt de comando administrativo:

  Takeown.exe /f "%windir%\system32\t2embed.dll"
  Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)
  Takeown.exe /f "%windir%\syswow64\t2embed.dll"
  Icacls.exe "%windir%\syswow64\t2embed.dll" /deny everyone:(F)
  

  Impacto da solução alternativa. Os aplicativos que dependem da tecnologia de fonte incorporada não serão exibidos corretamente.

  Como desfazer a solução alternativa.

  Para sistemas de 32 bits, digite o seguinte comando em um prompt de comando administrativo:

  Icacls.exe %WINDIR%\system32\t2embed.DLL /remove:d everyone
  

  Para sistemas de 64 bits, insira os seguintes comandos em um prompt de comando administrativo:

  Icacls.exe %WINDIR%\system32\t2embed.DLL /remove:d everyone
  Icacls.exe %WINDIR%\syswow64\t2embed.DLL /remove:d everyone
  

Vulnerabilidade de negação de serviço do driver de fonte do Windows - CVE-2015-0060

Existe uma vulnerabilidade de negação de serviço no driver (Win32k.sys) de modo kernel do Windows que é causada quando o mapeador de fontes do Windows tenta dimensionar uma fonte.

Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia fazer com que o computador do utilizador deixasse de responder. Um invasor pode tentar explorar essa vulnerabilidade convencendo um usuário a abrir um arquivo mal-intencionado ou visitar um link de site mal-intencionado. A atualização elimina a vulnerabilidade corrigindo como o driver do modo kernel verifica as larguras das fontes antes de carregar as fontes na memória.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Negar acesso ao T2EMBED.DLL

  Para sistemas de 32 bits, insira os seguintes comandos em um prompt de comando administrativo:

  Takeown.exe /f "%windir%\system32\t2embed.dll"
  Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)
  

  Para sistemas de 64 bits, insira os seguintes comandos em um prompt de comando administrativo:

  Takeown.exe /f "%windir%\system32\t2embed.dll" 
  Icacls.exe "%windir%\system32\t2embed.dll" /deny everyone:(F)
  Takeown.exe /f "%windir%\syswow64\t2embed.dll" 
  Icacls.exe "%windir%\syswow64\t2embed.dll" /deny everyone:(F)
  

Impacto da solução alternativa. Os aplicativos que dependem da tecnologia de fonte incorporada não serão exibidos corretamente.

Como desfazer a solução alternativa.

Para sistemas de 32 bits, digite o seguinte comando em um prompt de comando administrativo:

```
  Icacls.exe %WINDIR%\system32\t2embed.DLL /remove:d everyone
```

Para sistemas de 64 bits, insira os seguintes comandos em um prompt de comando administrativo:

  Icacls.exe %WINDIR%\system32\t2embed.DLL /remove:d everyone
  IIcacls.exe %WINDIR%\syswow64\t2embed.DLL /remove:d everyone
```      

Security Update Deployment
--------------------------

For Security Update Deployment information, see the Microsoft Knowledge Base article referenced  in the Executive Summary.

Acknowledgments
---------------

Microsoft recognizes the efforts of those in the security community who help us protect customers through coordinated vulnerability disclosure. See [Acknowledgments](https://technet.microsoft.com/library/security/dn903755.aspx) for more information.

Disclaimer
----------

The information provided in the Microsoft Knowledge Base is provided "as is" without warranty of any kind. Microsoft disclaims all warranties, either express or implied, including the warranties of merchantability and fitness for a particular purpose. In no event shall Microsoft Corporation or its suppliers be liable for any damages whatsoever including direct, indirect, incidental, consequential, loss of business profits or special damages, even if Microsoft Corporation or its suppliers have been advised of the possibility of such damages. Some states do not allow the exclusion or limitation of liability for consequential or incidental damages so the foregoing limitation may not apply.

Revisions
---------

-   V1.0 (February 10, 2015): Bulletin published.
-   V1.1 (February 18, 2015): Bulletin revised to add an Update FAQ that explains why there are two packages on the Microsoft Download Center pages for affected editions of Windows Server 2003, Windows Server 2008, and Windows Vista. The additional package (3037639) is not needed to be protected from the vulnerabilities addressed by the 3013455 update; it simply corrects a text quality problem that some customers experienced after installing the 3013455 update on the indicated systems.

*Page generated 2015-02-18 15:39Z-08:00.*