Microsoft Security Bulletin MS17-022 - Importante

Atualização de segurança para o Microsoft XML Core Services (4010321)

Publicado em: 14 de março de 2017

Versão: 1.0

Resumo executivo

Esta atualização de segurança elimina uma vulnerabilidade no Microsoft Windows. A vulnerabilidade pode permitir a divulgação não autorizada de informações se um usuário visitar um site mal-intencionado. No entanto, em todos os casos, um invasor não teria como forçar um usuário a clicar em um link especialmente criado. Um invasor teria que convencer um usuário a clicar no link, geralmente por meio de um aliciamento em um email ou mensagem do Instant Messenger.

Esta atualização de segurança é classificada como Importante para o Microsoft XML Core Services 3.0 em todas as versões com suporte do Microsoft Windows. Para obter mais informações, consulte a seção Softwares afetados e classificações de gravidade da vulnerabilidade.

A atualização elimina a vulnerabilidade alterando como o MSXML manipula objetos na memória Para obter mais informações sobre a vulnerabilidade, consulte a seção Informações sobre a vulnerabilidade .

Para obter mais informações sobre essa atualização, consulte o artigo 4010321 da Base de Dados de Conhecimento Microsoft.

Software afetado e classificações de gravidade da vulnerabilidade

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

As classificações de gravidade indicadas para cada software afetado pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de março.

Observação Consulte o Guia de Atualização de Segurança para obter uma nova abordagem para consumir as informações da atualização de segurança. Você pode personalizar suas exibições e criar planilhas de software afetadas, bem como baixar dados por meio de uma API repousante. Para obter mais informações, consulte as Perguntas frequentes sobre o Guia de atualizações de segurança. Como lembrete, o Guia de Atualizações de Segurança substituirá os boletins de segurança. Consulte nossa postagem no blog, Promovendo nosso compromisso com as atualizações de segurança, para obter mais detalhes.

^[1]A partir da versão de outubro de 2016, a Microsoft alterou o modelo de serviço de atualização para Windows 7, Windows Server 2008 R2, Windows 8.1, Windows Server 2012 e Windows Server 2012 R2. Para obter mais informações, consulte este artigo do Microsoft TechNet.

^[2]Esta actualização só está disponível através do Windows Update.

^[3]As atualizações do Windows 10 e do Windows Server 2016 são cumulativas. A versão de segurança mensal inclui todas as correções de segurança para vulnerabilidades que afetam o Windows 10, além de atualizações não relacionadas à segurança. As atualizações estão disponíveis por meio do Catálogo do Microsoft Update. Observe que, a partir de 13 de dezembro de 2016, os detalhes do Windows 10 e do Windows Server 2016 para as Atualizações Cumulativas serão documentados nas Notas de Versão. Consulte as Notas de versão para números de compilação do sistema operacional, problemas conhecidos e informações da lista de arquivos afetados.

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em qualquer cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas são fornecidas na guia Detalhes do Pacote).

Perguntas frequentes sobre atualizações

Qual versão do Microsoft XML Core Services está instalada no meu sistema?

Algumas versões do Microsoft XML Core Services estão incluídas no Microsoft Windows; outros são instalados com software que não seja do sistema operacional da Microsoft ou de provedores de terceiros. Alguns também estão disponíveis como downloads separados. A tabela a seguir mostra quais versões do Microsoft XML Core Services estão incluídas no Microsoft Windows e quais são instaladas com a instalação de software adicional da Microsoft ou de terceiros.

Informações de vulnerabilidade

Vulnerabilidade de divulgação não autorizada de informações do Microsoft XML Core Services - CVE-2017-0022

Existe uma vulnerabilidade de informações quando o Microsoft XML Core Services (MSXML) manipula incorretamente objetos na memória. A exploração bem-sucedida da vulnerabilidade pode permitir que o invasor teste a presença de arquivos no disco.

Para explorar a vulnerabilidade, um intruso poderia alojar um Web site especialmente concebido para invocar o MSXML através do Internet Explorer. No entanto, um invasor não teria como forçar um usuário a visitar esse site. Em vez disso, um invasor normalmente teria que convencer um usuário a clicar em um link em uma mensagem de email ou em um link em uma solicitação do Instant Messenger que, em seguida, levaria o usuário ao site.

A atualização elimina a vulnerabilidade alterando a maneira como o MSXML manipula objetos na memória.

A tabela a seguir contém links para a entrada padrão de cada vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (14 de março de 2017): Boletim publicado.

Página gerada em 14/03/2017 09:21-07:00.