Microsoft Security Bulletin MS15-047 - Importante

Vulnerabilidades no Microsoft SharePoint Server podem permitir a execução remota de código (3058083)

Publicado em: 12 de maio de 2015

Versão: 1.0

Resumo executivo

Esta atualização de segurança resolve vulnerabilidades no servidor do Microsoft Office e no software de produtividade. As vulnerabilidades podem permitir a execução remota de código se um invasor autenticado enviar conteúdo de página especialmente criado para um servidor do SharePoint. O invasor que explorar com êxito essas vulnerabilidades poderá executar código arbitrário no contexto de segurança da conta de serviço W3WP no site do SharePoint de destino.

Esta atualização de segurança é classificada como Importante para edições com suporte do Microsoft SharePoint Server 2007, Microsoft SharePoint Server 2010, Microsoft SharePoint Foundation 2010, Microsoft SharePoint Server 2013 e Microsoft SharePoint Foundation 2013. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina as vulnerabilidades corrigindo como o SharePoint Server limpa o conteúdo da página especialmente criado. Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3058083 da Base de Dados de Conhecimento Microsoft. 

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft. 

Software de servidor da Microsoft

Perguntas frequentes sobre atualizações

Por que alguns dos arquivos de atualização listados neste boletim também estão indicados em outros boletins que estão sendo lançados em maio?
Vários dos arquivos de atualização listados neste boletim também são indicados em outros boletins que estão sendo lançados em maio devido a sobreposições no software afetado. Embora os diferentes boletins abordem vulnerabilidades de segurança separadas, as atualizações de segurança foram consolidadas sempre que possível e apropriado. Portanto, alguns arquivos de atualização idênticos estão presentes em vários boletins.

Observe que arquivos de atualização idênticos que estão sendo lançados com vários boletins não precisam ser instalados mais de uma vez.

Há vários pacotes de atualização disponíveis para alguns dos softwares afetados. Preciso instalar todas as atualizações listadas na tabela Softwares afetados para o software?
Sim. Os clientes devem aplicar todas as atualizações oferecidas para o software instalado em seus sistemas.

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de maio.

Software de servidor da Microsoft

Informações de vulnerabilidade

Vulnerabilidades de conteúdo de página do Microsoft SharePoint - CVE-2015-1700

Existem vulnerabilidades de execução remota de código quando o SharePoint Server limpa incorretamente o conteúdo da página especialmente criado. Um invasor autenticado pode tentar explorar essas vulnerabilidades enviando conteúdo de página especialmente criado para um servidor do SharePoint. O invasor que explorar com êxito essas vulnerabilidades poderá executar código arbitrário no contexto de segurança da conta de serviço W3WP no site do SharePoint de destino. Os sistemas que estão executando uma versão afetada do SharePoint Server são os que correm mais risco.

A atualização de segurança elimina as vulnerabilidades corrigindo como o SharePoint Server limpa o conteúdo da página especialmente criado.

A Microsoft recebeu informações sobre as vulnerabilidades por meio da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi emitido, a Microsoft não tinha recebido nenhuma informação que indicasse que estas vulnerabilidades tinham sido utilizadas publicamente para atacar clientes.

Para exibir esta vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2015-1700.

Fatores atenuantes

Os seguintes fatores atenuantes podem ser úteis em sua situação:

• Para explorar essa vulnerabilidade, um invasor deve ser capaz de se autenticar no site do SharePoint de destino. Observe que isso não é um fator atenuante se o site do SharePoint estiver configurado para permitir que usuários anônimos acessem o site. Por padrão, o acesso anônimo não está habilitado.

Soluções Alternativas

A Microsoft não identificou nenhuma solução alternativa para essas vulnerabilidades.

Perguntas frequentes

Por que um único identificador CVE é atribuído a várias vulnerabilidades?
Embora as vulnerabilidades estejam em componentes diferentes do Microsoft SharePoint Server, todas elas compartilham o mesmo problema subjacente e código relacionado. As vulnerabilidades são agrupadas em um único identificador CVE que representa o problema subjacente.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações. 

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (12 de maio de 2015): Boletim publicado.

Página gerada em 06/05/2015 11:03Z-07:00.