Microsoft Security Bulletin MS15-025 - Importante

Vulnerabilidades no kernel do Windows podem permitir elevação de privilégio (3038680)

Publicado: terça-feira, 10 de março de 2015 | Atualizado: March 16, 2015

Versão: 2.0

Resumo executivo

Esta atualização de segurança resolve vulnerabilidades no Microsoft Windows. A mais grave das vulnerabilidades pode permitir a elevação de privilégio se um invasor fizer logon em um sistema afetado e executar um aplicativo especialmente criado. O invasor que explorar com êxito a vulnerabilidade poderá executar código arbitrário no contexto de segurança da conta de outro usuário conectado ao sistema afetado. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas potencialmente com direitos de usuário completos.

Esta atualização de segurança é classificada como Importante para todas as versões com suporte do Microsoft Windows. Para obter mais informações, consulte a seção Softwares afetados.

A atualização de segurança elimina as vulnerabilidades corrigindo como a Virtualização do Registro do Windows manipula o armazenamento virtual de outros usuários e como o Windows valida os níveis de representação. Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3038680 da Base de Dados de Conhecimento Microsoft.

Softwares afetados

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

^[1]A atualização 3035131 para Windows 7 e Windows Server 2008 R2 afetou binários em comum com a atualização sendo lançada simultaneamente por meio do Comunicado de Segurança 3033929. Consulte a entrada Perguntas frequentes sobre atualizações neste boletim para saber como isso pode afetar os clientes que baixam e instalam atualizações manualmente.

^[2]Esta actualização está disponível apenas através do Windows Update .

Perguntas frequentes sobre atualizações

Como a atualização 3035131 está relacionada ao 3033929 Comunicado de Segurança?
Para o Windows 7 e o Windows Server 2008 R2, a atualização 3035131 discutida neste boletim compartilha binários afetados com a atualização sendo lançada simultaneamente por meio do 3033929 do Comunicado de Segurança. Essa sobreposição em binários afetados exige que uma atualização substitua a outra e, neste caso, é o 3033929 de atualização que substitui o 3035131 de atualização. Os clientes com a atualização automática habilitada não devem experimentar nenhum comportamento de instalação incomum; Ambas as atualizações devem ser instaladas automaticamente e ambas devem aparecer na lista de atualizações instaladas. No entanto, para clientes que baixam e instalam atualizações manualmente, a ordem em que as atualizações são instaladas determinará o comportamento observado da seguinte maneira:

1. Cenário 1 (preferencial): o cliente primeiro instala 3035131 de atualização e, em seguida, instala 3033929 de atualização de comunicado. Resultado: ambas as atualizações devem ser instaladas normalmente e ambas as atualizações devem aparecer na lista de atualizações instaladas.

2. Cenário 2: O cliente primeiro instala 3033929 de atualização de comunicado e, em seguida, tenta instalar o 3035131 de atualização. Resultado: O instalador notifica o usuário que a atualização do 3035131 já está instalada no sistema; e a atualização 3035131 NÃO é adicionada à lista de atualizações instaladas.

Classificações de gravidade e identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de março.

Informações de vulnerabilidade

Vulnerabilidade de elevação de privilégio da virtualização do registro - CVE-2015-0073

Existe uma vulnerabilidade de elevação de privilégio na maneira como a Virtualização do Registro do Windows permite indevidamente que um usuário modifique o repositório virtual de outro usuário. O invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário no contexto de segurança da conta de outro usuário conectado ao sistema afetado. Um invasor pode então instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas potencialmente com direitos de usuário completos.

Para explorar esta vulnerabilidade, um intruso teria primeiro de iniciar sessão no sistema. Um invasor pode então executar um aplicativo especialmente criado que pode explorar a vulnerabilidade e assumir o controle sobre a conta de outro usuário que está conectado ao sistema afetado. A atualização elimina a vulnerabilidade corrigindo como a Virtualização do Registro do Windows manipula o armazenamento virtual de outros usuários.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

Os seguintes fatores atenuantes podem ser úteis em sua situação:

• Somente os processos que usam a Virtualização do Registro são afetados por essa vulnerabilidade.

  • A virtualização do Registro está habilitada somente para o seguinte:

    • Processos interativos de 32 bits

    • Chaves em HKEY_LOCAL_MACHINE\Software

    • Chaves nas quais um administrador pode gravar.

      (Se um administrador não puder gravar em uma chave, o aplicativo teria falhado em versões anteriores do Windows, mesmo que fosse executado por um administrador.)

  • A virtualização do Registro está desabilitada para o seguinte:

    • Processos de 64 bits que não são interativos, como serviços.
      Observação Usar o Registro como um mecanismo de comunicação entre processos (IPC) entre um serviço (ou qualquer outro processo que não tenha virtualização habilitada) e um aplicativo não funcionará corretamente se a chave for virtualizada. Por exemplo, se um serviço antivírus atualizar seus arquivos de assinatura com base em um valor definido por um aplicativo, o serviço nunca atualizará seus arquivos de assinatura porque o serviço lê do repositório global, mas o aplicativo grava no repositório virtual. Processos que representam um usuário. Se um processo tentar uma operação ao representar um usuário, essa operação não será virtualizada. Processos de modo kernel, como drivers.
    • Processos que solicitaram ExecutionLevel especificado em seus manifestos.
    • Chaves e subchaves de HKEY_LOCAL_MACHINE\Software\Classes, HKEY_LOCAL_MACHINE\Software\Microsoft\Windows e HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT.
      Consulte Virtualização do Registro para obter mais informações.

Soluções Alternativas

As seguintes soluções alternativas podem ser úteis em sua situação:

• Desabilitar a virtualização do Registro

Usando a Diretiva de Grupo:

A configuração de diretiva Controle de Conta de Usuário: Virtualizar falhas de gravação de arquivo e registro em locais por usuário controla se as falhas de gravação do aplicativo são redirecionadas para locais definidos do Registro e do sistema de arquivos. Essa configuração de política migra aplicativos que são executados como administrador e gravam dados de aplicativo em tempo de execução em %ProgramFiles%, %Windir%, %Windir%\system32 ou HKLM\Software.

As opções são:

• Habilitado. (Padrão) As falhas de gravação do aplicativo são redirecionadas em tempo de execução para locais de usuário definidos para o sistema de arquivos e o Registro.
• Desabilitada. Os aplicativos que gravam dados em locais protegidos falham.

Usando as configurações do Registro:

Na chave do Registro HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System, defina o valor DWORD "EnableVirtualization" como 0 para desabilitar a virtualização de arquivos e do Registro ou 1 para habilitar (esse é o padrão)

Para obter mais informações, consulte Controle de conta de usuário: virtualizar falhas de gravação de arquivo e registro em locais por usuário.

Impacto da solução alternativa. O software que depende da capacidade de gravar em locais protegidos do registro e do sistema de arquivos pode não funcionar corretamente.

Vulnerabilidade de elevação de privilégio de verificação de nível de representação - CVE-2015-0075

Existe uma vulnerabilidade de elevação de privilégio quando o Windows não valida e impõe corretamente os níveis de representação. O invasor que explorar com êxito essa vulnerabilidade poderá ignorar as verificações de conta de usuário para obter privilégios elevados.

Para explorar esta vulnerabilidade, um intruso teria primeiro de iniciar sessão no sistema. Um invasor pode então executar um aplicativo especialmente criado projetado para aumentar os privilégios. A atualização elimina a vulnerabilidade corrigindo como o Windows valida os níveis de representação.

A Microsoft recebeu informações sobre esta vulnerabilidade através da divulgação coordenada de vulnerabilidades. Quando este boletim de segurança foi publicado originalmente, a Microsoft não tinha recebido nenhuma informação que indicasse que esta vulnerabilidade tinha sido utilizada publicamente para atacar clientes.

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (10 de março de 2015): Boletim publicado.
• V2.0 (16 de março de 2015): Para resolver um problema de empacotamento para clientes que recebem repetidamente 3033395 de atualização de segurança quando instalados em sistemas que executam edições com suporte do Windows Server 2003, a Microsoft lançou a atualização 3033395-v2 para todas as edições com suporte do Windows Server 2003. Os clientes que ainda não instalaram a atualização 3033395 devem instalar a atualização 3033395-v2 para estarem totalmente protegidos contra esta vulnerabilidade. Para evitar a possibilidade de futuros problemas de lógica de detecção, a Microsoft recomenda que os clientes que executam o Windows Server 2003 que já instalaram com êxito a atualização 3033395 também apliquem a atualização 3033395-v2, mesmo que já estejam protegidos contra essa vulnerabilidade. Os clientes que executam outros sistemas operacionais da Microsoft não são afetados por este relançamento e não precisam executar nenhuma ação. Consulte o Artigo 3033395 da Base de Dados de Conhecimento Microsoft para obter mais informações.

Página gerada em 16/03/2015 14:59Z-07:00.