Microsoft Security Bulletin MS15-101 - Importante

Vulnerabilidades no .NET Framework podem permitir elevação de privilégio (3089662)

Publicado: terça-feira, 8 de setembro de 2015 | Atualizado: February 9, 2016

Versão: 1.2

Resumo executivo

Esta atualização de segurança resolve vulnerabilidades no Microsoft .NET Framework. A mais grave das vulnerabilidades pode permitir a elevação de privilégio se um usuário executar um aplicativo .NET especialmente criado. No entanto, em todos os casos, um invasor não teria como forçar os usuários a executar o aplicativo; um invasor teria que convencer os usuários a fazê-lo.

Esta atualização de segurança é classificada como Importante para Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4, Microsoft .NET Framework 4.5, Microsoft .NET Framework 4.5.1 e Microsoft .NET Framework 4.5.2 em versões afetadas do Microsoft Windows. Para obter mais informações, consulte a seção Softwares afetados.

As atualizações de segurança resolvem as vulnerabilidades corrigindo como o .NET Framework copia objetos na memória e corrigindo como o .NET Framework manipula solicitações especialmente criadas. Para obter mais informações sobre a vulnerabilidade, consulte a subseção Perguntas frequentes sobre a vulnerabilidade específica.

Para obter mais informações sobre essa atualização, consulte o artigo 3089662 da Base de Dados de Conhecimento Microsoft.

Software afetado e classificações de gravidade da vulnerabilidade

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de setembro.

^[1]. NET Framework 4 e .NET Framework 4 Client Profile afetados.

^[2]Esta actualização está disponível apenas através do Windows Update .

^[3]A atualização do Windows 10 é cumulativa. Além de conter atualizações não relacionadas à segurança, ele também contém todas as correções de segurança para todas as vulnerabilidades afetadas pelo Windows 10 enviadas com o lançamento de segurança deste mês. Consulte o Artigo 3081455 da Base de Dados de Conhecimento Microsoft para obter mais informações e links para download.

Observação O Windows Server Technical Preview 2 é afetado. Os clientes que executam esse sistema operacional são incentivados a aplicar a atualização, que está disponível por meio do Windows Update.

Perguntas frequentes sobre atualizações

Como determinar qual versão do Microsoft .NET Framework está instalada?
Você pode instalar e executar várias versões do .NET Framework em um sistema e pode instalar as versões em qualquer ordem. Para obter mais informações, consulte o artigo 318785 da Base de Dados de Conhecimento Microsoft.

Qual é a diferença entre o .NET Framework 4 e o .NET Framework 4 Client Profile?
Os pacotes redistribuíveis do .NET Framework versão 4 estão disponíveis em dois perfis: .NET Framework 4 e .NET Framework 4 Client Profile. O .NET Framework 4 Client Profile é um subconjunto do perfil do .NET Framework 4 otimizado para aplicativos cliente. Ele fornece funcionalidade para a maioria dos aplicativos cliente, incluindo recursos do Windows Presentation Foundation (WPF), Windows Forms, Windows Communication Foundation (WCF) e ClickOnce. Isso permite uma implantação mais rápida e um pacote de instalação menor para aplicativos destinados ao .NET Framework 4 Client Profile. Para obter mais informações, consulte o artigo do MSDN, .NET Framework Client Profile. 

Há vários pacotes de atualização disponíveis para alguns dos softwares afetados. Preciso instalar todas as atualizações listadas na tabela Softwares afetados para o software?
Sim. Os clientes devem aplicar todas as atualizações oferecidas para o software instalado em seus sistemas.

Preciso instalar essas atualizações de segurança em uma sequência específica?
Não. Várias atualizações para um determinado sistema podem ser aplicadas em qualquer sequência.

Informações de vulnerabilidade

Vulnerabilidade de elevação de privilégio do .NET - CVE-2015-2504

Existe uma vulnerabilidade de elevação de privilégio na maneira como o .NET Framework valida o número de objetos na memória antes de copiar esses objetos em uma matriz. Um intruso que conseguisse tirar partido desta vulnerabilidade poderia assumir o controlo de um sistema afectado. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema correm menos riscos do que aqueles que têm direitos de usuário administrativo.

Há dois cenários de ataque possíveis para explorar essa vulnerabilidade: um cenário de navegação na Web e um desvio de aplicativo do Windows .NET das restrições de CAS (Segurança de Acesso ao Código). Esses cenários são descritos a seguir:

• Cenário de ataque de navegação na Web Um invasor pode hospedar um site especialmente criado que contenha um XBAP (aplicativo de navegador XAML) especialmente criado que possa explorar essa vulnerabilidade e, em seguida, convencer um usuário a exibir o site. O invasor também pode tirar proveito de sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios. Em todos os casos, no entanto, um invasor não teria como forçar os usuários a visitar esses sites. Em vez disso, um invasor teria que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um mensageiro instantâneo ou mensagem de email que leva os usuários ao site do invasor. Também pode ser possível exibir conteúdo da Web especialmente criado usando anúncios de banner ou usando outros métodos para entregar conteúdo da Web aos sistemas afetados.
• Cenário de ataque de aplicativos do Windows .NET Essa vulnerabilidade também pode ser usada por aplicativos do Windows .NET Framework para ignorar as restrições de CAS (Segurança de Acesso ao Código).

Existem dois tipos de sistemas em risco, que são descritos a seguir:

• Cenário de navegação na Web A exploração bem-sucedida desta vulnerabilidade requer que um usuário esteja conectado e visitando sites usando um navegador da Web capaz de instanciar XBAPs. Portanto, todos os sistemas em que um navegador da Web é usado com frequência, como estações de trabalho ou servidores de terminal, correm mais risco com essa vulnerabilidade. Os servidores podem correr mais riscos se os administradores permitirem que os usuários naveguem e leiam emails nos servidores. No entanto, as práticas recomendadas desencorajam fortemente a permissão disso.
• Aplicativos do Windows .NET As estações de trabalho e servidores que executam aplicativos não confiáveis do Windows .NET Framework também correm risco com essa vulnerabilidade.

A atualização elimina a vulnerabilidade corrigindo como o .NET Framework copia objetos na memória. Esta vulnerabilidade foi divulgada publicamente. Ela recebeu o número CVE-2015-2504 da lista Common Vulnerability and Exposure. Quando este boletim foi lançado originalmente, a Microsoft não estava ciente de nenhum ataque que tentasse explorar essa vulnerabilidade.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Vulnerabilidade de negação de serviço do MVC - CVE-2015-2526

Existe uma vulnerabilidade de negação de serviço que é causada quando o .NET não consegue lidar corretamente com determinadas solicitações especialmente criadas. Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia enviar um pequeno número de pedidos especialmente concebidos para o efeito a um servidor ASP.NET, fazendo com que o desempenho se degradasse significativamente o suficiente para causar uma condição de negação de serviço.

Um invasor pode usar essa vulnerabilidade para criar um ataque de negação de serviço e interromper a disponibilidade de sites que usam ASP.NET. Os sistemas voltados para a Internet com ASP.NET instalados são os que mais correm risco com essa vulnerabilidade. Os sites internos que usam ASP.NET também podem estar em risco com essa vulnerabilidade. A atualização elimina a vulnerabilidade corrigindo como o .NET Framework manipula solicitações especialmente criadas.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi emitido, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.  

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (8 de setembro de 2015): Boletim publicado.
• V1.1 (25 de setembro de 2015): O Windows Server Technical Preview 3 foi removido da nota de rodapé da tabela Softwares afetados porque ele não é afetado pelas vulnerabilidades descritas neste boletim de segurança. Esta é apenas uma alteração informativa. Os clientes que já atualizaram seus sistemas com êxito não precisam tomar nenhuma ação.
• V1.2 (9 de fevereiro de 2016): Boletim revisado para anunciar uma alteração de detecção para a atualização de 3074554 do .NET Framework 4.6. Esta é apenas uma alteração informativa. Os clientes que já atualizaram seus sistemas com êxito não precisam tomar nenhuma ação.

Página gerada em 04/02/2016 11:08-08:00.