Microsoft Security Bulletin MS16-120 - Crítica

Atualização de segurança para o Microsoft Graphics Component (3192884)

Publicado: terça-feira, 11 de outubro de 2016 | Atualizado: December 13, 2016

Versão: 2.0

Resumo executivo

Esta atualização de segurança resolve vulnerabilidades no Microsoft Windows, Microsoft Office, Skype for Business, Silverlight e Microsoft Lync. A mais grave dessas vulnerabilidades pode permitir a execução remota de código se um usuário visitar um site especialmente criado ou abrir um documento especialmente criado. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema correm menos riscos do que aqueles que têm direitos de usuário administrativo.

Esta atualização de segurança é classificada como Crítica para:

• Todas as versões suportadas do Microsoft Windows

Esta atualização de segurança é classificada como Importante para:

• Edições afetadas do Microsoft Office 2007 e do Microsoft Office 2010
• Edições afetadas do Skype for Business 2016, Microsoft Lync 2013 e Microsoft Lync 2010
• Edições afetadas do Microsoft .NET Framework
• Edições afetadas do Silverlight

A atualização de segurança elimina as vulnerabilidades corrigindo como a biblioteca de fontes do Windows manipula fontes incorporadas.

Para obter mais informações, consulte a seção Softwares afetados e classificações de gravidade da vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3192884 da Base de Dados de Conhecimento Microsoft.

Software afetado e classificações de gravidade da vulnerabilidade

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

As classificações de gravidade indicadas para cada software afetado pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de outubro.

Microsoft Windows

^[1]Esta actualização só está disponível através do Windows Update.

^[2]As atualizações do Windows 10 são cumulativas. A versão de segurança mensal inclui todas as correções de segurança para vulnerabilidades que afetam o Windows 10, além de atualizações não relacionadas à segurança. As atualizações estão disponíveis por meio do Catálogo do Microsoft Update.

^[3]A partir da versão de outubro de 2016, a Microsoft está alterando o modelo de serviço de atualização para Windows 7, Windows Server 2008 R2, Windows 8.1, Windows Server 2012 e Windows Server 2012 R2. Para obter mais informações, consulte este artigo do Microsoft TechNet.

Observação As vulnerabilidades discutidas neste boletim afetam o Windows Server 2016 Technical Preview 5. Para se proteger das vulnerabilidades, a Microsoft recomenda que os clientes que executam esse sistema operacional apliquem a atualização atual, que está disponível no Windows Update.

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em qualquer cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas são fornecidas na guia PackageDetails ).

Microsoft .NET Framework - Versão Apenas Segurança^[3]

^[1]Para obter informações sobre alterações no suporte ao .NET Framework 4.x, consulte Anúncios de suporte do Internet Explorer e do .NET Framework 4.x.

^[2]As atualizações do Windows 10 são cumulativas. A versão de segurança mensal inclui todas as correções de segurança para vulnerabilidades que afetam o Windows 10, além de atualizações não relacionadas à segurança. As atualizações estão disponíveis por meio do Catálogo do Microsoft Update.

^[3]A partir da versão de outubro de 2016, a Microsoft está alterando o modelo de serviço de atualização para o Microsoft .NET Framework. Para obter mais informações, consulte esta postagem de blog do Microsoft .NET.

^[4]Há um KB pai para Vista e Server2008. O KB pai é o KB de oferta, mas os KBs listados na tabela serão o que está visível em Adicionar remover programas.

Observação A vulnerabilidade discutida neste boletim afeta o Windows Server 2016 Technical Preview 4 e o Windows Server 2016 Technical Preview 5. Uma atualização está disponível para o Windows Server 2016 Technical Preview 5 via Windows Update. No entanto, nenhuma atualização está disponível para o Windows Server 2016 Technical Preview 4. Para se proteger da vulnerabilidade, a Microsoft recomenda que os clientes que executam o Windows Server 2016 Technical Preview 4 atualizem para o Windows Server 2016 Technical Preview 5.

Microsoft .NET Framework - Versão ^{cumulativa mensal[3]}

^[1]Para obter informações sobre alterações no suporte ao .NET Framework 4.x, consulte Anúncios de suporte do Internet Explorer e do .NET Framework 4.x.

^[2]As atualizações do Windows 10 são cumulativas. A versão de segurança mensal inclui todas as correções de segurança para vulnerabilidades que afetam o Windows 10, além de atualizações não relacionadas à segurança. As atualizações estão disponíveis por meio do Catálogo do Microsoft Update.

^[3]A partir da versão de outubro de 2016, a Microsoft está alterando o modelo de serviço de atualização para o Microsoft .NET Framework. Para obter mais informações, consulte esta postagem de blog do Microsoft .NET.

^[4]Há um KB pai para Vista e Server2008. O KB pai é o KB de oferta, mas os KBs listados na tabela serão o que está visível em Adicionar remover programas.

^[5]. Microsoft .NET Framework 4.5.2 e 4.6 são patches cumulativos e incluem todas as atualizações anteriores, bem como as atualizações deste mês. Consulte esta página para obter mais informações.

Observação A vulnerabilidade discutida neste boletim afeta o Windows Server 2016 Technical Preview 4 e o Windows Server 2016 Technical Preview 5. Uma atualização está disponível para o Windows Server 2016 Technical Preview 5 via Windows Update. No entanto, nenhuma atualização está disponível para o Windows Server 2016 Technical Preview 4. Para se proteger da vulnerabilidade, a Microsoft recomenda que os clientes que executam o Windows Server 2016 Technical Preview 4 atualizem para o Windows Server 2016 Technical Preview 5.

Microsoft Office

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em qualquer cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas são fornecidas na guia Detalhes do Pacote).

Software e plataformas de comunicação da Microsoft

^[1]Antes de instalar esta atualização, você deve ter 2965218 de atualização e 3039779 de atualização de segurança instalados. Consulte as Perguntas frequentes sobre atualização para obter mais informações.

^[2]Esta atualização está disponível no Centro de Download da Microsoft.

^[3]Uma atualização para o Suplemento de Conferência para Microsoft Office Outlook também está disponível. Para obter mais informações e links para download, consulte Baixar o suplemento de conferência para o Microsoft Office Outlook.

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em uma cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas estão na guia Detalhes do Pacote ).

Ferramentas e software para desenvolvedores da Microsoft

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em uma cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas estão na guia Detalhes do Pacote ).

Perguntas frequentes sobre atualizações

Há vários pacotes de atualização disponíveis para alguns dos softwares afetados. Preciso instalar todas as atualizações listadas na tabela Softwares afetados para o software?
Sim. Os clientes devem aplicar todas as atualizações oferecidas para o software instalado em seus sistemas. Se várias atualizações se aplicarem, elas poderão ser instaladas em qualquer ordem.

Preciso instalar essas atualizações de segurança em uma sequência específica?
Não. Várias atualizações para um determinado sistema podem ser aplicadas em qualquer sequência.

Estou executando o Office 2010, que está listado como software afetado. Por que a atualização não está sendo oferecida? 
A atualização não é aplicável ao Office 2010 no Windows Vista e versões posteriores do Windows porque o código vulnerável não está presente.

Esta atualização está sendo oferecida para software que não é especificamente indicado como afetado na tabela Softwares afetados e Classificações de gravidade de vulnerabilidade. Por que esta atualização está sendo oferecida?
Quando as atualizações abordam o código vulnerável existente em um componente compartilhado entre vários produtos do Microsoft Office ou compartilhado entre várias versões do mesmo produto do Microsoft Office, a atualização é considerada aplicável a todos os produtos e versões com suporte que contêm o componente vulnerável.

Por exemplo, quando uma atualização se aplica a produtos do Microsoft Office 2007, somente o Microsoft Office 2007 pode ser listado especificamente na tabela Softwares afetados. No entanto, a atualização pode se aplicar ao Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer ou qualquer outro produto do Microsoft Office 2007 que não esteja especificamente listado na tabela Softwares afetados. Além disso, quando uma atualização se aplica a produtos do Microsoft Office 2010, somente o Microsoft Office 2010 pode ser listado especificamente na tabela Softwares afetados. No entanto, a atualização pode se aplicar ao Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer ou qualquer outro produto do Microsoft Office 2010 que não esteja especificamente listado na tabela Softwares afetados.

Para obter mais informações sobre esse comportamento e ações recomendadas, consulte o artigo 830335 da Base de Dados de Conhecimento Microsoft. Para obter uma lista de produtos do Microsoft Office aos quais uma atualização pode se aplicar, consulte o artigo da Base de Dados de Conhecimento Microsoft associado à atualização específica.

Há algum pré-requisito para qualquer uma das atualizações oferecidas neste boletim para edições afetadas do Microsoft Lync 2013 (Skype for Business)?
Sim. Os clientes que executam edições afetadas do Microsoft Lync 2013 (Skype for Business) devem primeiro instalar a atualização de 2965218 para o Office 2013 lançada em abril de 2015 e, em seguida, a atualização de segurança 3039779 lançada em maio de 2015. Para obter mais informações sobre essas duas atualizações de pré-requisito, consulte:

• Artigo 2965218 da Base de Dados de Conhecimento
• Artigo 3039779 da Base de Dados de Conhecimento

Existem atualizações não relacionadas à segurança que os clientes devem instalar junto com a atualização de segurança do Console do Microsoft Live Meeting? 
Sim, além de lançar uma atualização de segurança para o Microsoft Live Meeting Console, a Microsoft lançou as seguintes atualizações não relacionadas à segurança para o Suplemento de Conferência do OCS para Outlook. Quando aplicável, a Microsoft recomenda que os clientes instalem essas atualizações para manter seus sistemas atualizados:

• Suplemento de Conferência do OCS para Outlook (32 bits) (3189648)
• Suplemento de Conferência do OCS para Outlook (64 bits) (3189648)

Consulte o Artigo 3189648 da Base de Dados de Conhecimento Microsoft para obter mais informações.

Por que a atualização do Lync 2010 Attendee (instalação em nível de usuário) só está disponível no Centro de Download da Microsoft? 
A Microsoft está lançando a atualização para o Lync 2010 Attendee (instalação em nível de usuário) somente para o Centro de Download da Microsoft. Como a instalação em nível de usuário do Lync 2010 Attendee é manipulada por meio de uma sessão do Lync, métodos de distribuição, como a atualização automática, não são apropriados para esse tipo de cenário de instalação.

Informações de vulnerabilidade

Vulnerabilidade de RCE do componente gráfico do Windows - CVE-2016-3393

Existe uma vulnerabilidade de execução remota de código devido à maneira como o componente GDI do Windows manipula objetos na memória. O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle do sistema afetado. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema correm menos riscos do que aqueles que têm direitos de usuário administrativo.

Há várias maneiras de um invasor explorar essa vulnerabilidade:

• Num cenário de ataque baseado na Web, um intruso poderia alojar um Web site especialmente concebido para explorar esta vulnerabilidade e, em seguida, convencer um utilizador a visualizar o Web site. Um invasor não teria como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, um invasor teria que convencer os usuários a agir, geralmente fazendo com que eles cliquem em um link em uma mensagem de email ou em uma mensagem do Instant Messenger que leva os usuários ao site do invasor ou abrindo um anexo enviado por email.
• Em um cenário de ataque de compartilhamento de arquivos, um invasor pode fornecer um arquivo de documento especialmente criado projetado para explorar essa vulnerabilidade e, em seguida, convencer um usuário a abrir o arquivo de documento.

A atualização de segurança elimina a vulnerabilidade corrigindo como o GDI do Windows manipula objetos na memória.

A tabela a seguir contém um link para a entrada padrão da vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Vulnerabilidade de execução remota de código GDI+ - CVE-2016-3396

Existe uma vulnerabilidade de execução remota de código quando a biblioteca de fontes do Windows manipula incorretamente fontes incorporadas especialmente criadas. Um intruso que explorasse esta vulnerabilidade com êxito poderia assumir o controlo do sistema afectado. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema correm menos riscos do que aqueles que têm direitos de usuário administrativo.

Há várias maneiras pelas quais um invasor pode explorar a vulnerabilidade:

• Num cenário de ataque baseado na Web, um intruso poderia alojar um Web site especialmente concebido para explorar a vulnerabilidade e, em seguida, convencer os utilizadores a visualizar o Web site. Um invasor não teria como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, um invasor teria que convencer os usuários a agir, geralmente fazendo com que eles cliquem em um link em um email ou mensagem do Instant Messenger que leva os usuários ao site do invasor ou abrindo um anexo enviado por email.
• Em um cenário de ataque de compartilhamento de arquivos, um invasor pode fornecer um arquivo de documento especialmente criado projetado para explorar a vulnerabilidade e, em seguida, convencer os usuários a abrir o arquivo de documento. A atualização de segurança elimina a vulnerabilidade corrigindo como a biblioteca de fontes do Windows manipula fontes incorporadas.

Na tabela Softwares afetados e classificações de gravidade de vulnerabilidade do Microsoft Office, o Painel de Visualização é um vetor de ataque para CVE-2016-3396. A atualização de segurança elimina a vulnerabilidade corrigindo como a biblioteca de fontes do Windows manipula fontes incorporadas.

A tabela a seguir contém um link para a entrada padrão da vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Várias vulnerabilidades de divulgação de informações do GDI+

Existem várias vulnerabilidades de divulgação não autorizada de informações na maneira como a GDI (Interface de Dispositivo Gráfico) do Windows manipula objetos na memória, permitindo que um invasor recupere informações de um sistema de destino. Um invasor que explorar com êxito essas vulnerabilidades poderá usar as informações recuperadas para contornar a ASLR (Address Space Layout Randomization) no Windows, o que ajuda a proteger contra uma ampla classe de vulnerabilidades. Por si só, as divulgações de informações não permitem a execução arbitrária de códigos; no entanto, eles podem permitir a execução de código arbitrário se o invasor usar um em combinação com outra vulnerabilidade, como uma vulnerabilidade de execução remota de código, que pode aproveitar a evasão de ASLR.

Para explorar essas vulnerabilidades, um invasor teria que fazer logon em um sistema afetado e executar um aplicativo especialmente criado.

A atualização de segurança elimina as vulnerabilidades e ajuda a proteger a integridade do recurso de segurança ASLR, corrigindo como o GDI manipula endereços de memória.

A tabela a seguir contém links para a entrada padrão para as vulnerabilidades na lista Vulnerabilidades e exposições comuns:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para essas vulnerabilidades.

Soluções Alternativas

A Microsoft não identificou nenhuma solução alternativa para essas vulnerabilidades.

Vulnerabilidade de elevação de privilégio na análise de fonte True Type - CVE-2016-7182

Existe uma vulnerabilidade de elevação de privilégio quando o componente gráfico do Windows manipula incorretamente objetos na memória. O invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário no modo kernel. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais.

A atualização elimina a vulnerabilidade corrigindo a maneira como o Microsoft Graphics Component manipula objetos na memória, impedindo a elevação não intencional do modo de usuário.

A tabela a seguir contém links para a entrada padrão da vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Vulnerabilidade de elevação de privilégio do Win32k - CVE-2016-3270

Existe uma vulnerabilidade de elevação de privilégio no Windows quando o kernel do Windows falha ao manipular corretamente objetos na memória. O invasor que explorar com êxito essa vulnerabilidade poderá executar código arbitrário no modo kernel. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais.

Para explorar esta vulnerabilidade, um intruso teria primeiro de iniciar sessão no sistema. Um invasor pode então executar um aplicativo especialmente criado que pode explorar a vulnerabilidade e assumir o controle de um sistema afetado.

A atualização elimina essa vulnerabilidade corrigindo como o kernel do Windows manipula objetos na memória.

A tabela a seguir contém links para a entrada padrão da vulnerabilidade na lista Common Vulnerabilities and Exposures:

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para esta vulnerabilidade.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

• V1.0 (11 de outubro de 2016): Boletim publicado.

• V1.1 (8 de novembro de 2016): Revise o boletim para anunciar uma alteração de detecção para resolver um problema de substituição, especificamente em ambientes do WSUS em que várias atualizações aplicáveis ao Windows 7 SP1 e ao Windows Server 2008 R2 SP1 foram marcadas incorretamente como substituídas. Esta é apenas uma alteração de detecção. Não houve alterações nos arquivos de atualização. Os clientes que já instalaram a atualização com êxito não precisam executar nenhuma ação.

• V2.0 (13 de dezembro de 2016): O boletim revisado para anunciar as seguintes atualizações foi relançado com uma alteração de detecção que resolve um problema de substituição que determinados clientes enfrentaram ao tentar instalar as atualizações Apenas segurança de outubro.

  • Atualização Apenas segurança 3192391 para todas as versões com suporte do Windows 7 e Windows Server 2008 R2. Para obter mais informações, consulte o artigo 3192391 da Base de Dados de Conhecimento Microsoft.
  • Atualização Apenas segurança 3192393 para Windows Server 2012. Para obter mais informações, consulte o artigo 3192393 da Base de Dados de Conhecimento Microsoft.
  • Atualização Apenas segurança 3192392 para Windows 8.1 e Windows Server 2012 R2. Para obter mais informações, consulte o artigo 3192392 da Base de Dados de Conhecimento Microsoft.

  Estas são apenas alterações de detecção. Não houve alterações nos arquivos de atualização. Os clientes que já instalaram com êxito qualquer uma dessas atualizações não precisam executar nenhuma ação. Para obter mais informações, consulte o artigo da Base de Dados de Conhecimento Microsoft para a respectiva atualização.

Página gerada em 08/02/2017 09:03-08:00.