Microsoft Security Bulletin MS15-086 - Importante

Vulnerabilidade no System Center Operations Manager pode permitir elevação de privilégio (3075158)

Publicado em: 11 de agosto de 2015

Versão: 1.0

Resumo executivo

Esta atualização de segurança elimina uma vulnerabilidade no Microsoft System Center Operations Manager. A vulnerabilidade pode permitir a elevação de privilégio se um usuário visitar um site afetado por meio de uma URL especialmente criada. Um invasor não teria como forçar os usuários a visitar esse site. Em vez disso, um invasor teria que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em uma mensagem de email ou mensagem do Instant Messenger que leva os usuários ao site afetado.

Esta atualização de segurança é classificada como Importante para versões afetadas do Microsoft System Center 2012 Operations Manager e do Microsoft System Center 2012 Operations Manager R2. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina a vulnerabilidade modificando como o System Center Operations Manager aceita entradas. Para obter mais informações sobre a vulnerabilidade, consulte a seção Informações sobre a vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3075158 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de agosto.

Informações de vulnerabilidade

Vulnerabilidade de XSS no console da Web do System Center Operations Manager - CVE-2015-2420

Existe uma vulnerabilidade de elevação de privilégio no Microsoft System Center Operations Manager causada pela validação incorreta de entrada. O invasor que explorar com êxito essa vulnerabilidade poderá injetar um script do lado do cliente no navegador do usuário. O script pode falsificar conteúdo, divulgar informações ou executar qualquer ação que o usuário possa realizar no site afetado em nome do usuário visado.

Um invasor pode explorar essa vulnerabilidade convencendo um usuário a visitar um site afetado por meio de uma URL especialmente criada. Isso pode ser feito por meio de qualquer meio que possa conter links da Web de URL que são controlados pelo invasor, como um link em um e-mail, um link em um site ou um redirecionamento em um site. Além disso, sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios podem conter conteúdo especialmente criado que pode explorar essa vulnerabilidade. Em todos os casos, no entanto, um invasor não teria como forçar os usuários a visitar esses sites. Em vez disso, um invasor teria que convencer os usuários a visitar um site, geralmente fazendo com que eles cliquem em um link em um email ou mensagem do Instant Messenger que os direciona para o site afetado por meio de uma URL especialmente criada.

Os usuários autorizados a acessar os consoles da Web do System Center Operations Manager são os que mais correm risco com essa vulnerabilidade. A atualização elimina a vulnerabilidade modificando a maneira como o System Center Operations Manager aceita entradas.

A Microsoft recebeu informações sobre a vulnerabilidade por meio da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi emitido, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (11 de agosto de 2015): Boletim publicado.

Página gerada em 05/08/2015 13:11Z-07:00.