Microsoft Security Bulletin MS15-020 - Crítica

Vulnerabilidades no Microsoft Windows podem permitir a execução remota de código (3041836)

Publicado: terça-feira, 10 de março de 2015 | Atualizado: March 10, 2015

Versão: 1.1

Resumo executivo

Esta atualização de segurança resolve vulnerabilidades no Microsoft Windows. As vulnerabilidades podem permitir a execução remota de código se um invasor convencer um usuário a navegar para um site especialmente criado, abrir um arquivo especialmente criado ou navegar até um diretório de trabalho que contenha um arquivo DLL especialmente criado.

Esta atualização de segurança é classificada como Crítica para todas as versões com suporte do Microsoft Windows. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina as vulnerabilidades corrigindo como o Microsoft Text Services manipula objetos na memória e como o Microsoft Windows lida com o carregamento de arquivos DLL. Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3041836 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

Observação As atualizações estão disponíveis para o Windows Technical Preview e Windows Server Technical Preview. Os clientes que executam esses sistemas operacionais são incentivados a aplicar as atualizações, que estão disponíveis por meio do Windows Update.

^[1]Esta actualização está disponível apenas através do Windows Update .

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de março.

Informações de vulnerabilidade

Vulnerabilidade de execução remota de código do WTS - CVE-2015-0081

Existe uma vulnerabilidade de execução remota de código quando os Serviços de Texto do Windows manipulam incorretamente objetos na memória. O invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário no contexto do usuário conectado.

Para explorar esta vulnerabilidade, um intruso teria de convencer um utilizador a navegar para um Web site especialmente concebido para o efeito ou a abrir um ficheiro especialmente concebido para o efeito. A atualização elimina a vulnerabilidade corrigindo como o Microsoft Text Services manipula objetos na memória.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Vulnerabilidade de execução remota de código de plantio de DLL - CVE-2015-0096

Existe uma vulnerabilidade de execução remota de código quando o Microsoft Windows manipula incorretamente o carregamento de arquivos DLL. O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema correm menos riscos do que aqueles que têm direitos de usuário administrativo.

A vulnerabilidade existe quando o Windows analisa atalhos de uma forma que pode permitir a execução de código mal-intencionado quando o ícone de um atalho especialmente criado é exibido. Para que a vulnerabilidade seja explorada, um usuário teria que usar o Windows Explorer para navegar até um site mal-intencionado, compartilhamento de rede remoto ou diretório de trabalho local (observe que outros métodos de navegação para um diretório de trabalho, como via cmd.exe ou powershell.exe, NÃO acionam a exploração). Além disso, a vulnerabilidade pode ser explorada por meio de unidades removíveis USB, especialmente em sistemas em que a Reprodução Automática foi habilitada.

Depois que o usuário navega para o diretório mal-intencionado, a DLL especialmente criada que ele contém é carregada na memória, dando ao invasor o controle do sistema afetado no contexto de segurança do usuário conectado. A atualização elimina a vulnerabilidade corrigindo como o Microsoft Windows lida com o carregamento de arquivos DLL.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Desativar a exibição de ícones para atalhos

  Observação Consulte o artigo 2286198 da Base de Dados de Conhecimento Microsoft para usar a solução automatizada Microsoft Fix it para habilitar ou desabilitar essa solução alternativa. Esta solução Fix it requer uma reinicialização após a conclusão para ser eficaz. Essa solução Fix it implanta a solução alternativa e, portanto, tem o mesmo impacto para o usuário. Recomendamos que os administradores revisem atentamente o artigo da Base de Dados de Conhecimento antes de implantar essa solução Fix it.

  Observação Usar o Editor do Registro incorretamente pode causar problemas sérios que podem exigir a reinstalação do sistema operacional. A Microsoft não garante que problemas resultantes do uso incorreto do Editor do Registro possam ser solucionados. Use o Editor do Registro por sua conta e risco. Para obter informações sobre como editar o Registro, consulte o tópico da Ajuda "Alterando chaves e valores" no Editor do Registro (Regedit.exe) ou exiba os tópicos da Ajuda "Adicionar e excluir informações no Registro" e "Editar dados do Registro" no Regedt32.exe.

  1. Clique em Iniciar , clique em Executar , digite Regedit na caixa Abrir e, em seguida, clique em OK .

  2. Localize e selecione a seguinte chave do Registro:

         HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
     

  3. Clique no menu arquivo e, em seguida, clique em Exportar .

  4. Na caixa de diálogo Exportar Arquivo do Registro, digite LNK_Icon_Backup.reg e clique em Salvar.
     Observação Isso criará um backup dessa chave do Registro na pasta Meus Documentos por padrão.

  5. Selecione o valor (Padrão) no painel direito no Editor do Registro. Pressione Enter para editar o valor da chave. Exclua o valor, para que ele fique em branco, e pressione Enter.

  6. Localize e selecione a seguinte chave do Registro:

         HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
     

  7. Clique no menu arquivo e, em seguida, clique em Exportar .

  8. Na caixa de diálogo Exportar Arquivo do Registro, digite PIF_Icon_Backup.reg e clique em Salvar.
     Observação Isso cria um backup dessa chave do Registro na pasta Meus documentos por padrão.

  9. Selecione o valor (Padrão) no painel direito no Editor do Registro. Pressione Enter para editar o valor da chave. Exclua o valor, para que ele fique em branco, e pressione Enter.

  10. Faça logoff e logon de todos os usuários novamente ou reinicie o computador.

Impacto da solução alternativa. Desabilitar a exibição de ícones para atalhos impede que o problema seja explorado nos sistemas afetados. Quando essa solução alternativa é implementada, o sistema pode exibir a maioria dos ícones como um ícone de objeto padrão "branco", o que afeta a usabilidade. Recomendamos que os administradores de sistema testem essa solução alternativa completamente antes da implantação. Quando a solução alternativa for desfeita, todos os ícones reaparecerão.

Como desfazer a solução alternativa.

Usando o método interativo:

1. Clique em Iniciar , clique em Executar , digite Regedit na caixa Abrir e, em seguida, clique em OK .
2. Clique no menu arquivo e, em seguida, clique em Importar .
3. Na caixa de diálogo Importar Arquivo do Registro, selecione LNK_Icon_Backup.reg e clique em Abrir.
4. Clique no menu arquivo e, em seguida, clique em Importar .
5. Na caixa de diálogo Importar Arquivo do Registro, selecione PIF_Icon_Backup.reg e clique em Abrir.
6. Saia do Editor do Registro e reinicie o computador.  

Redefinindo manualmente os valores de chave do Registro para os valores padrão:

1. Clique em Iniciar , clique em Executar , digite Regedit na caixa Abrir e, em seguida, clique em OK .

2. Localize e clique na seguinte chave do Registro:

       HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
   

3. Redefina o valor da chave do Registro para:

       {00021401-0000-0000-C000-000000000046}
   

4. Localize e clique na seguinte chave do Registro:

       HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
   

5. Redefina o valor da chave do Registro para:

       {00021401-0000-0000-C000-000000000046}
   

6. Reinicie o computador

• Desabilitar o serviço WebClient

  Desabilitar o serviço WebClient ajuda a proteger os sistemas afetados contra tentativas de explorar essa vulnerabilidade, bloqueando o vetor de ataque remoto mais provável por meio do serviço de cliente WebDAV (Web Distributed Authoring and Versioning). Depois de aplicar essa solução alternativa, ainda é possível para invasores remotos que exploram com êxito esta vulnerabilidade fazer com que o Microsoft Office Outlook execute programas localizados no computador do usuário de destino ou na rede local (LAN), mas os usuários serão solicitados a confirmar antes de abrir programas arbitrários da Internet.

  Para desativar o serviço WebClient, execute estas etapas:

  1. Clique em Iniciar , clique em Executar , digite Services.msc e, em seguida, clique em OK .
  2. Clique com o botão direito do mouse no serviço WebClient e selecione Propriedades.
  3. Altere o tipo de inicialização para Desabilitado. Se o serviço estiver em execução, clique em Parar.
  4. Clique em OK e saia do aplicativo de gerenciamento.  

Impacto da solução alternativa. Quando o serviço WebClient está desabilitado, as solicitações WebDAV (Web Distributed Authoring and Versioning) não são transmitidas. Além disso, quaisquer serviços que dependam explicitamente do serviço Cliente Web não serão iniciados e uma mensagem de erro será registrada no log do sistema. Por exemplo, os compartilhamentos WebDAV serão inacessíveis a partir do computador cliente.

Como desfazer a solução alternativa:

Para reativar o serviço WebClient, execute estas etapas:

1. Clique em Iniciar , clique em Executar , digite Services.msc e, em seguida, clique em OK .
2. Clique com o botão direito do mouse no serviço WebClient e selecione Propriedades.
3. Altere o tipo de inicialização para automático. Se o serviço não estiver em execução, clique em Iniciar.
4. Clique em OK e saia do aplicativo de gerenciamento.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (10 de março de 2015): Boletim publicado.
• V1.1 (10 de março de 2015): Boletim revisado para explicar melhor o vetor de ataque da vulnerabilidade de execução remota de código de plantio de DLL (CVE-2015-0096).

Página gerada em 11/03/2015 10:30Z-07:00.