Microsoft Security Bulletin MS15-030 - Importante

Vulnerabilidade no protocolo de área de trabalho remota pode permitir negação de serviço (3039976)

Publicado em: 10 de março de 2015

Versão: 1.0

Resumo executivo

Esta atualização de segurança elimina uma vulnerabilidade no Microsoft Windows. A vulnerabilidade pode permitir a negação de serviço se um invasor criar várias sessões RDP (Remote Desktop Protocol) que não conseguem liberar objetos corretamente na memória. Por padrão, o RDP não está habilitado em nenhum sistema operacional Windows. Os sistemas que não têm o RDP ativado não correm risco.

Esta atualização de segurança é classificada como Importante para todas as edições com suporte do Windows 7, Windows 8, Windows Server 2012, Windows 8.1 e Windows Server 2012 R2. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina a vulnerabilidade corrigindo como o RDP gerencia objetos na memória. Para obter mais informações sobre a vulnerabilidade, consulte a seção Informações sobre a vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3039976 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

Softwares afetados 

^[1]As edições Enterprise e Ultimate do Windows 7 são afetadas. Todas as edições com suporte do Windows 7 serão afetadas se o RDP 8.0 estiver instalado no sistema. Consulte as Perguntas frequentes sobre atualização para obter mais informações.

Perguntas frequentes sobre atualizações

Quais edições do Windows 7 são afetadas?
As edições Enterprise e Ultimate do Windows 7 são afetadas. Todas as edições com suporte do Windows 7 serão afetadas se o RDP 8.0 estiver instalado no sistema. Para clientes que executam o RDP 8.0 em sistemas locais que não precisam dos novos recursos do lado do servidor fornecidos no RDP 8.0, a Microsoft recomenda atualizar para o RDP 8.1 e não aplicar (ou remover) a atualização 3035017.

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de março.

Informações de vulnerabilidade

Vulnerabilidade de negação de serviço do protocolo RDP - CVE-2015-0079

Existe uma vulnerabilidade de negação de serviço no protocolo RDP (Remote Desktop Protocol) quando um invasor cria várias sessões RDP que não conseguem liberar objetos corretamente na memória. Observe que a negação de serviço não permite que um invasor execute código ou eleve seus direitos de usuário. No entanto, ele pode impedir que usuários legítimos façam logon por meio da área de trabalho remota. Um invasor não autenticado pode usar essa vulnerabilidade para esgotar a memória do sistema criando várias sessões RDP. Um invasor que explorar com êxito a vulnerabilidade poderá fazer com que o sistema de destino pare de responder. A atualização elimina a vulnerabilidade corrigindo como o RDP gerencia objetos na memória.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi emitido, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

Desabilitar RDP

• Para desabilitar o RDP usando a Diretiva de Grupo

• Abrir Política de Grupo

• Em Configuração do Computador, Modelos Administrativos, Componentes do Windows, Serviços de Terminal, clique duas vezes na configuração Permite que os usuários se conectem remotamente usando os Serviços de Terminal.

• Realize um dos seguintes procedimentos:

  • Para habilitar a Área de Trabalho Remota, clique em Habilitado.

  • Para desativar a Área de Trabalho Remota, clique em Desabilitado.

    Se você desabilitar a Área de Trabalho Remota enquanto os usuários estiverem conectados aos computadores de destino, os computadores manterão suas conexões atuais, mas não aceitarão novas conexões de entrada.

  Importante Ao habilitar a Área de Trabalho Remota em um computador, você habilita a capacidade de outros usuários e grupos fazerem logon remotamente no computador. No entanto, você também deve decidir quais usuários e grupos devem ser capazes de fazer logon remotamente e, em seguida, adicioná-los manualmente ao grupo Usuários da Área de Trabalho Remota. Para obter mais informações, consulte Permitindo que os usuários se conectem remotamente ao servidor e Adicionar usuários ao grupo Usuários da Área de Trabalho Remota.

  Você deve testar completamente todas as alterações feitas nas configurações de Diretiva de Grupo antes de aplicá-las a usuários ou computadores. Para obter mais informações sobre como testar configurações de diretiva, consulte Conjunto de políticas resultante.

  Observação:

  • Para executar esse procedimento, você deve ser membro do grupo Administradores no computador local ou deve ter recebido a autoridade apropriada. Se o computador estiver em um domínio, é possível que os membros do grupo Admins. do Domínio possam executar esse procedimento. Como prática recomendada de segurança, considere o uso de Executar como para executar esse procedimento.
  • Use o procedimento acima para configurar o objeto de Diretiva de Grupo local. Para alterar uma diretiva para um domínio ou uma unidade organizacional, você deve fazer logon no controlador de domínio primário como administrador. Em seguida, você deve iniciar a Diretiva de Grupo usando o snap-in Usuários e Computadores do Active Directory.
  • Se a configuração da Diretiva de Grupo Permitir que os usuários se conectem remotamente usando os Serviços de Terminal estiver definida como Não Configurado, a configuração Habilitar Área de Trabalho Remota neste computador (na guia Remoto da caixa de diálogo Propriedades do Sistema) nos computadores de destino terá precedência. Caso contrário, a configuração da Diretiva de Grupo Permite que os usuários se conectem remotamente usando os Serviços de Terminal terá precedência.
  • Esteja ciente das implicações de segurança dos logons remotos. Os usuários que fazem logon remotamente podem executar tarefas como se estivessem sentados no console. Por esse motivo, você deve garantir que o servidor esteja protegido por um firewall. Para obter mais informações, consulte Configuração de servidores VPN e firewall e Informações de segurança para IPSec.
  • Você deve exigir que todos os usuários que fazem conexões remotas usem uma senha forte. Para obter mais informações, consulte Senhas fortes.
  • A Área de Trabalho Remota está desabilitada por padrão nos sistemas operacionais Windows Server 2003.

• Para desabilitar o RDP usando as Propriedades do Sistema

• Abra Sistema no Painel de Controle.

• Na guia Remoto, marque ou desmarque a caixa de seleção Habilitar Área de Trabalho Remota neste computador e clique em OK.

  Importante Ao habilitar a Área de Trabalho Remota em um computador, você habilita a capacidade de outros usuários e grupos fazerem logon remotamente no computador. No entanto, você também deve decidir quais usuários e grupos devem ser capazes de fazer logon remotamente e, em seguida, adicioná-los manualmente ao grupo Usuários da Área de Trabalho Remota. Para obter mais informações, consulte Permitindo que os usuários se conectem remotamente ao servidor e Adicionar usuários ao grupo Usuários da Área de Trabalho Remota.

  Observação:

  • Você deve estar conectado como membro do grupo Administradores para habilitar ou desabilitar a Área de Trabalho Remota.
  • Para abrir um item do Painel de Controle, clique em Iniciar, em Painel de Controle e clique duas vezes no ícone apropriado.
  • Qualquer conjunto de configurações com Diretiva de Grupo substitui o conjunto de configurações usando as propriedades do Sistema, conforme descrito neste procedimento.
  • Esteja ciente das implicações de segurança dos logons remotos. Os usuários que fazem logon remotamente podem executar tarefas como se estivessem sentados no console. Por esse motivo, você deve garantir que o servidor esteja protegido por um firewall. Para obter mais informações, consulte Configuração de servidores VPN e firewall e Informações de segurança para IPSec.
  • Você deve exigir que todos os usuários que fazem conexões remotas usem uma senha forte. Para obter mais informações, consulte Senhas fortes.
  • A Área de Trabalho Remota está desabilitada por padrão nos sistemas operacionais Windows Server 2003.

Perguntas frequentes

A área de trabalho remota está habilitada por padrão?
Não, o RDP para administração não está habilitado por padrão. No entanto, os clientes que não habilitaram o RDP ainda receberão essa atualização para ajudar a garantir a proteção de seus sistemas. Para obter mais informações sobre essa definição de configuração, consulte o artigo do TechNet, Como habilitar e configurar a Área de Trabalho Remota para Administração no Windows Server 2003. Observe que este artigo também se aplica a versões posteriores do Microsoft Windows.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (10 de março de 2015): Boletim publicado.

Página gerada em 08/03/2015 9:11Z-07:00.