Microsoft Security Bulletin MS15-062 - Importante

Vulnerabilidade nos Serviços de Federação do Active Directory pode permitir a elevação de privilégio (3062577)

Publicado em: 9 de junho de 2015

Versão: 1.0

Resumo executivo

Esta atualização de segurança elimina uma vulnerabilidade nos Serviços de Federação do Microsoft Active Directory (AD FS). A vulnerabilidade pode permitir a elevação de privilégio se um invasor enviar uma URL especialmente criada para um site de destino. Devido à vulnerabilidade, em situações específicas, o script especialmente criado não é devidamente higienizado, o que posteriormente pode levar à execução de um script fornecido pelo invasor no contexto de segurança de um usuário que visualiza o conteúdo mal-intencionado. Para ataques de script entre sites, essa vulnerabilidade requer que um usuário esteja visitando um site comprometido para que qualquer ação mal-intencionada ocorra.

Esta atualização de segurança é classificada como Importante para os Serviços de Federação do Active Directory 2.0 e Serviços de Federação do Active Directory 2.1. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina a vulnerabilidade corrigindo como o AD FS manipula a codificação HTML de respostas HTTP. Para obter mais informações sobre a vulnerabilidade, consulte a seção Informações sobre a vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3062577 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em uma cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas estão na guia Detalhes do Pacote).

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de junho.

Informações de vulnerabilidade

Vulnerabilidade de elevação de privilégio XSS do ADFS - CVE-2015-1757

Existe uma vulnerabilidade de elevação de privilégio na maneira como as URLs são limpas nos Serviços de Federação do Active Directory (AD FS). O invasor que explorar com êxito essa vulnerabilidade poderá executar ataques de script entre sites e executar scripts no contexto de segurança do usuário conectado.

Para explorar esta vulnerabilidade, um intruso tem de ter a capacidade de submeter um URL especialmente concebido para o efeito a um site de destino. Devido à vulnerabilidade, em situações específicas, o script especialmente criado não é devidamente higienizado, o que posteriormente pode levar à execução de um script fornecido pelo invasor no contexto de segurança de um usuário que visualiza o conteúdo mal-intencionado. Para ataques de script entre sites, essa vulnerabilidade requer que um usuário esteja visitando um site comprometido para que qualquer ação mal-intencionada ocorra. Por exemplo, depois que um invasor envia com êxito uma URL especialmente criada para um site de destino, qualquer página da Web nesse site que contenha a URL especialmente criada é um vetor potencial para ataques de script entre sites. Quando um usuário visita uma página da Web que contém a URL especialmente criada, o script pode ser executado no contexto de segurança do usuário.

A atualização de segurança elimina a vulnerabilidade corrigindo como o AD FS manipula a codificação HTML de respostas HTTP.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Usar um firewall de aplicativo Web para bloquear solicitações suspeitas
  Use um WAF (Web Application Firewall) para bloquear solicitações para /adfs/ls onde o parâmetro de consulta "wct" contém marcação HTML ou código javascript.

  Por exemplo:

  ```
  /adfs/ls/?wa=wsignin1.0&wtrealm;=https%3a%2f%2fsomesite.example.com%2fRefinishUserAdmin%2f&wctx;=rm%3d0%26id%3dpassive%26ru%3d%252fRefinishUserAdmin%252f%253fwhr%253dhttp%253a%252f%252fsso.example.com%252fadfs%252fservices%252ftrust&wct;=2014-12-11T07%3a20%3a58Z78b0f<script>alert("hello")<%2fscript>b032e&whr=http%3a%2f%2fsso.example.com%2fadfs%2fservices%2ftrust
  ```
  

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (9 de junho de 2015): Boletim publicado.

Página gerada em 08/06/2015 9:16Z-07:00.