Microsoft Security Bulletin MS16-091 - Importante

Atualização de segurança para o .NET Framework (3170048)

Publicado: terça-feira, 12 de julho de 2016 | Atualizado: November 8, 2016

Versão: 1.1

Resumo executivo

Esta atualização de segurança elimina uma vulnerabilidade no Microsoft .NET Framework. A vulnerabilidade pode causar divulgação não autorizada de informações se um invasor carregar um arquivo XML especialmente criado em um aplicativo baseado na Web.

Esta atualização de segurança é classificada como Importante para Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4.5.2, Microsoft .NET Framework 4.6 e Microsoft .NET Framework 4.6.1 em versões afetadas do Microsoft Windows. Para obter mais informações, consulte a seção Softwares afetados e classificações de gravidade da vulnerabilidade.

A atualização elimina a vulnerabilidade modificando a maneira como o analisador XXE (Entidade Externa XML) analisa a entrada XML. Para obter mais informações sobre a vulnerabilidade, consulte a seção Informações sobre a vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3170048 da Base de Dados de Conhecimento Microsoft.

Software afetado e classificações de gravidade da vulnerabilidade

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

As classificações de gravidade indicadas para cada software afetado pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de julho.

^[1]Para obter informações sobre alterações no suporte ao .NET Framework 4.x, consulte Anúncios de suporte do Internet Explorer e do .NET Framework 4.x.

^[2]As atualizações do Windows RT 8.1 estão disponíveis somente por meio do Windows Update.

^[3]As atualizações do Windows 10 são cumulativas. A versão de segurança mensal inclui todas as correções de segurança para vulnerabilidades que afetam o Windows 10, além de atualizações não relacionadas à segurança. As atualizações estão disponíveis por meio do Catálogo do Microsoft Update.

Observação A vulnerabilidade discutida neste boletim afeta o Windows Server 2016 Technical Preview 4 e o Windows Server 2016 Technical Preview 5. Uma atualização está disponível para o Windows Server 2016 Technical Preview 5 via Windows Update. No entanto, nenhuma atualização está disponível para o Windows Server 2016 Technical Preview 4. Para se proteger da vulnerabilidade, a Microsoft recomenda que os clientes que executam o Windows Server 2016 Technical Preview 4 atualizem para o Windows Server 2016 Technical Preview 5.

Informações de vulnerabilidade

Vulnerabilidade de divulgação não autorizada de informações do .NET - CVE-2016-3255

Existe uma vulnerabilidade de divulgação não autorizada de informações quando o .NET Framework analisa incorretamente a entrada XML que contém uma referência a uma entidade externa. O invasor que explorar com êxito essa vulnerabilidade poderá ler arquivos arbitrários por meio de uma declaração de entidade externa XML.

Para explorar a vulnerabilidade, um invasor pode criar dados XML especialmente criados e induzir um aplicativo a analisar e validar os dados XML. Por exemplo, um invasor pode criar um arquivo XML e carregá-lo em um aplicativo baseado na Web. A atualização elimina a vulnerabilidade modificando a maneira como o analisador XXE (Entidade Externa XML) analisa a entrada XML.

A tabela a seguir contém links para a entrada padrão de cada vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (12 de julho de 2016): Boletim publicado.
• V1.1 (8 de novembro de 2016): Boletim revisado para anunciar que uma alteração de detecção foi feita para levar em conta os clientes do pacote cumulativo de hotfix do .NET Framework 4.6.1 que não estavam recebendo atualizações de segurança apropriadas aplicáveis ao .NET Framework 4.6.1

Página gerada em 03/11/2016 15:41-07:00.