Assessoria de Segurança

Comunicado de Segurança da Microsoft 980088

Vulnerabilidade no Internet Explorer pode permitir a divulgação não autorizada de informações

Publicado: terça-feira, 3 de fevereiro de 2010 | Atualizado: June 09, 2010

A Microsoft está investigando uma vulnerabilidade relatada publicamente no Internet Explorer para clientes que executam o Windows XP ou que desabilitaram o Modo Protegido do Internet Explorer. Este comunicado contém informações sobre quais versões do Internet Explorer são vulneráveis, bem como soluções alternativas e atenuações para esse problema.

Nossa investigação até agora mostrou que, se um usuário estiver usando uma versão do Internet Explorer que não esteja sendo executada no Modo Protegido, um invasor poderá acessar arquivos com um nome de arquivo e local já conhecidos. Essas versões incluem Internet Explorer 5.01 Service Pack 4 no Microsoft Windows 2000 Service 4; Internet Explorer 6 Service Pack 1 no Microsoft Windows 2000 Service Pack 4; e Internet Explorer 6, Internet Explorer 7 e Internet Explorer 8 em edições com suporte do Windows XP Service Pack 2, Windows XP Service Pack 3 e Windows Server 2003 Service Pack 2. O Modo Protegido impede a exploração desta vulnerabilidade e é executado por predefinição para versões do Internet Explorer no Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008.

A vulnerabilidade existe devido ao conteúdo ser forçado a renderizar incorretamente a partir de arquivos locais de tal forma que as informações podem ser expostas a sites mal-intencionados.

A Microsoft lançou o MS10-035 para resolver o vetor conhecido para o problema principal no Internet Explorer 7 e Internet Explorer 8, que são as versões mais recentes do Internet Explorer. No entanto, todas as versões do Internet Explorer permanecem sujeitas a um problema que, se um invasor é capaz de armazenar em cache conteúdo em um local previsível no sistema de um usuário e é capaz de determinar o nome de usuário, então o invasor pode ser capaz de exibir arquivos no sistema local ao qual o usuário tem acesso.

Neste momento, não temos conhecimento de quaisquer ataques que tentem utilizar esta vulnerabilidade. Continuaremos monitorando o ambiente de ameaças e atualizando este aviso se essa situação mudar. Após a conclusão desta investigação, a Microsoft tomará as medidas apropriadas para proteger os nossos clientes, que podem incluir o fornecimento de uma solução através do nosso processo de lançamento mensal de atualizações de segurança ou uma atualização de segurança fora do ciclo, dependendo das necessidades do cliente.

Estamos trabalhando ativamente com parceiros em nosso Microsoft Ative Protections Program (MAPP) e nossos programas Microsoft Security Response Alliance (MSRA) para fornecer informações que eles podem usar para fornecer proteções mais amplas aos clientes. Além disso, estamos trabalhando ativamente com parceiros para monitorar o cenário de ameaças e tomar medidas contra sites mal-intencionados que tentam explorar essa vulnerabilidade.

A Microsoft continua a incentivar os clientes a seguir a orientação "Proteja o seu computador" de ativar uma firewall, aplicar todas as atualizações de software e instalar software antivírus e anti-spyware. Informações adicionais podem ser encontradas em Segurança em casa.

Fatores atenuantes:

• O Modo Protegido impede a exploração desta vulnerabilidade e é executado por predefinição para versões suportadas do Internet Explorer no Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2.
• Num cenário de ataque baseado na Web, um intruso poderia alojar um Web site que contivesse uma página Web utilizada para explorar esta vulnerabilidade. Além disso, os Web sites comprometidos e os Web sites que aceitam ou alojam conteúdo fornecido pelo utilizador ou anúncios podem conter conteúdo especialmente concebido para o efeito que pode explorar esta vulnerabilidade. Em todos os casos, no entanto, um invasor não teria como forçar os usuários a visitar esses sites. Em vez disso, um invasor teria que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou mensagem do Instant Messenger que leva os usuários ao site do invasor.
• Um intruso que conseguisse explorar esta vulnerabilidade poderia obter os mesmos direitos de utilizador que o utilizador local. Os utilizadores cujas contas estão configuradas para terem menos direitos de utilizador no sistema podem ser menos afetados do que os utilizadores que operam com direitos de utilizador administrativos.
• Por padrão, o Internet Explorer no Windows Server 2003 e no Windows Server 2008 é executado em um modo restrito conhecido como Configuração de Segurança Reforçada. Este modo define o nível de segurança para a zona da Internet como Alto. Esse é um fator atenuante para sites que você não adicionou à zona de sites confiáveis do Internet Explorer.
• Por predefinição, todas as versões suportadas do Microsoft Outlook, Microsoft Outlook Express e Windows Mail abrem mensagens de correio eletrónico HTML na zona Sites restritos. A zona Sites restritos ajuda a mitigar ataques que poderiam tentar explorar esta vulnerabilidade, impedindo que scripts ativos e controles ActiveX sejam usados ao ler mensagens de email HTML. No entanto, se um usuário clicar em um link em uma mensagem de email, ele ainda poderá estar vulnerável à exploração dessa vulnerabilidade por meio do cenário de ataque baseado na Web.

Informações Gerais

Descrição geral

Objetivo do comunicado: Fornecer aos clientes a notificação inicial da vulnerabilidade divulgada publicamente. Para obter mais informações, consulte as seções Fatores atenuantes, Soluções alternativas e Ações sugeridas deste comunicado de segurança.

Status consultivo: O problema está atualmente sob investigação.

Recomendação: Revise as ações sugeridas e configure conforme apropriado.

Este comunicado descreve o seguinte software.

Perguntas Mais Frequentes

Qual é o âmbito do aconselhamento?
A Microsoft está ciente de uma nova vulnerabilidade que afeta o Internet Explorer. A vulnerabilidade no Internet Explorer afeta o software listado na seção Visão geral .

Esta é uma vulnerabilidade de segurança que exige que a Microsoft emita uma atualização de segurança?
Após a conclusão desta investigação, a Microsoft tomará as medidas apropriadas para ajudar a proteger os nossos clientes. Isso pode incluir fornecer uma atualização de segurança por meio de nosso processo de lançamento mensal ou fornecer uma atualização de segurança fora do ciclo, dependendo das necessidades de nossos clientes.

Como poderia um intruso explorar esta vulnerabilidade?
Um intruso poderia alojar um Web site especialmente concebido para explorar esta vulnerabilidade através do Internet Explorer e, em seguida, convencer um utilizador a visualizar o Web site. O invasor também pode tirar proveito de sites comprometidos e sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios. Estes Web sites podem conter conteúdo especialmente concebido para o efeito que pode explorar esta vulnerabilidade. Em todos os casos, no entanto, um invasor não teria como forçar os usuários a visitar esses sites. Em vez disso, um invasor teria que convencer os usuários a visitar o site, geralmente fazendo com que eles cliquem em um link em um email ou em uma mensagem do Instant Messenger que leva os usuários ao site do invasor. Também pode ser possível exibir conteúdo da Web especialmente criado usando anúncios de banner ou usando outros métodos para fornecer conteúdo da Web aos sistemas afetados.

Como é que o Modo Protegido no Internet Explorer no Windows Vista e versões posteriores me protege desta vulnerabilidade?
O Internet Explorer no Windows Vista e posterior é executado no Modo Protegido por padrão na zona de segurança da Internet. (O Modo Protegido está desativado por padrão na zona da Intranet.) O Modo Protegido reduz significativamente a capacidade de um invasor escrever, alterar ou destruir dados na máquina do usuário ou instalar código mal-intencionado. Isso é feito usando os mecanismos de integridade do Windows Vista que restringem o acesso a processos, arquivos e chaves do Registro com níveis de integridade mais altos.

Estou a utilizar o Windows XP ou desativei o Modo Protegido. Há alguma mitigação que eu possa implementar para proteger contra esse problema?
Sim. Identificamos uma mitigação adicional aproveitando o Bloqueio de Protocolo de Rede do Internet Explorer. O Internet Explorer pode ser configurado para bloquear conteúdo HTML de protocolos de rede específicos. Esse recurso permite que um administrador estenda as mesmas restrições do Bloqueio de Zona do Computador Local para serem aplicadas a qualquer conteúdo em qualquer protocolo arbitrário em qualquer zona de segurança.

O que faz o Internet Explorer Network Protocol Lockdown FixIt na secção Soluções alternativas?
O Internet Explorer Network Protocol Lockdown FixIt restringe o protocolo file:// para que scripts e controles ActiveX sejam impedidos de serem executados usando o protocolo file:// na zona da Internet.

É verdade que um intruso que explora esta vulnerabilidade pode visualizar o disco rígido de uma vítima?
Se o sistema estiver sendo executado no Modo Protegido, o sistema não estará vulnerável ao ataque. Se não estiver em execução no Modo Protegido, o invasor não poderá obter arquivos a menos que saiba o nome do arquivo e o caminho exatos. Em vez disso, para localizar com êxito os arquivos em uma unidade, o invasor teria que saber o nome exato do arquivo e o local para recuperá-lo.  Além disso, o invasor só teria acesso aos mesmos arquivos que o usuário, portanto, se o usuário estivesse executando no modo não administrador, alguns arquivos seriam protegidos contra o invasor.

Como um invasor pode usar isso?
Um invasor com conhecimento da localização precisa de um arquivo em um disco rígido remoto pode redirecionar o conteúdo do arquivo armazenado localmente e forçar o conteúdo local a ser processado como um documento HTML, tornando-o visível remotamente.

E quanto à preocupação de que um invasor possa visualizar os arquivos e outras informações de um usuário?
Se o invasor conseguir determinar o nome de usuário no sistema afetado e conseguir armazenar em cache o conteúdo em um local previsível no sistema do usuário, o invasor poderá visualizar os arquivos do usuário.

Ações Sugeridas

• Proteja o seu PC

  Continuamos a incentivar os clientes a seguir a nossa orientação Proteja o seu PC de ativar um firewall, obter atualizações de software e instalar software antivírus. Os clientes podem saber mais sobre estas etapas visitando o site Proteja seu PC.

• Para obter mais informações sobre como se manter seguro na Internet, os clientes devem visitara Central de Segurança da Microsoft.

Soluções

A Microsoft testou as seguintes soluções alternativas. Embora essas soluções alternativas não corrijam a vulnerabilidade subjacente, elas ajudam a bloquear vetores de ataque conhecidos. Quando uma solução alternativa reduz a funcionalidade, ela é identificada na seção a seguir.

Defina as configurações da zona de segurança da Internet e da intranet local como "Alta" para avisar antes de executar controles ActiveX e scripts ativos nessas zonas

Pode ajudar a proteger-se contra a exploração desta vulnerabilidade alterando as definições da zona de segurança da Internet para avisar antes de executar controlos ActiveX e scripts ativos. Você pode fazer isso definindo a segurança do seu navegador como Alta.

Para aumentar o nível de segurança de navegação no Internet Explorer, siga estes passos:

1. No menu Ferramentas do Internet Explorer, clique em Opções da Internet.
2. Na caixa de diálogo Opções da Internet, clique no separador Segurança e, em seguida, clique no ícone Internet.
3. Em Nível de segurança para esta zona, mova o controle deslizante para Alto. Isso define o nível de segurança para todos os sites que você visita como Alto.

Observação Se nenhum controle deslizante estiver visível, clique em Nível Padrão e mova o controle deslizante para Alto.

Observação Definir o nível como Alto pode fazer com que alguns sites funcionem incorretamente. Se tiver dificuldade em utilizar um Web site depois de alterar esta definição e tiver a certeza de que o site é seguro de utilizar, pode adicionar esse site à sua lista de sites fidedignos. Isso permitirá que o site funcione corretamente, mesmo com a configuração de segurança definida como Alta.

Impacto da solução alternativa. Há efeitos colaterais para avisar antes de executar controles ActiveX e scripts ativos. Muitos sites que estão na Internet ou em uma intranet usam ActiveX ou scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico on-line ou site bancário pode usar controles ActiveX para fornecer menus, formulários de pedido ou até mesmo extratos de conta. Avisar antes de executar Controles ActiveX ou Scripts Ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será solicitado com freqüência quando habilitar essa solução alternativa. Para cada prompt, se você achar que confia no site que está visitando, clique em Sim para executar Controles ActiveX ou Scripts Ativos. Se você não quiser ser solicitado para todos esses sites, use as etapas descritas em "Adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer".

Adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer

Depois de definir o Internet Explorer para exigir um prompt antes de executar controles ActiveX e scripts ativos na zona da Internet e na zona da intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue a usar sites confiáveis exatamente como faz hoje, ajudando a protegê-lo contra esse ataque a sites não confiáveis. Recomendamos que adicione apenas sites em que confia à zona Sites fidedignos.

Para o fazer, siga estes passos:

1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança .
2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança atuais, clique em Sites Confiáveis e, em seguida, clique em Sites.
3. Se desejar adicionar sites que não exigem um canal criptografado, desmarque a caixa de seleção Exigir verificação do servidor (https:) para todos os sites nesta zona .
4. Na caixa Adicionar este Web site à zona, escreva o URL de um site em que confia e, em seguida, clique em Adicionar.
5. Repita estas etapas para cada site que você deseja adicionar à zona.
6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

Observação Adicione sites confiáveis para não executar ações maliciosas no sistema. Dois em particular que você pode querer adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que irão alojar a atualização e requer um controlo ActiveX para instalar a atualização.

Configure o Internet Explorer para avisar antes de executar o Script Ativo ou para desabilitar o Script Ativo na zona de segurança da Internet e da intranet local

Pode ajudar a proteger-se contra a exploração desta vulnerabilidade alterando as suas definições para avisar antes de executar o Script Ativo ou para desativar o Script Ativo na zona de segurança da Internet e da Intranet Local. Para o fazer, siga estes passos:

1. No Internet Explorer, clique em Opções da Internet no menu Ferramentas .
2. Clique na segurança separador.
3. Clique em Internet e, em seguida, clique em Nível personalizado.
4. Em Configurações, na seção Scripting, em Scripts Ativos, clique em **Avisar **ou Desativar e, em seguida, clique em OK.
5. Clique em Intranet local e, em seguida, clique em Nível personalizado.
6. Em Configurações, na seção Scripting, em Scripts Ativos, clique em **Avisar **ou Desativar e, em seguida, clique em OK.
7. Clique em OK duas vezes para retornar ao Internet Explorer.

Observação A desativação de scripts ativos nas zonas de segurança da Internet e da intranet local pode fazer com que alguns sites funcionem incorretamente. Se tiver dificuldade em utilizar um Web site depois de alterar esta definição e tiver a certeza de que o site é seguro de utilizar, pode adicionar esse site à sua lista de sites fidedignos. Isso permitirá que o site funcione corretamente.

Impacto da solução alternativa. Há efeitos colaterais ao avisar antes de executar o Script Ativo. Muitos sites que estão na Internet ou em uma intranet usam scripts ativos para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico on-line ou site bancário pode usar scripts ativos para fornecer menus, formulários de pedido ou até mesmo extratos de conta. Avisar antes de executar o Script Ativo é uma configuração global que afeta todos os sites da Internet e da intranet. Você será solicitado com freqüência quando habilitar essa solução alternativa. Para cada prompt, se você achar que confia no site que está visitando, clique em Sim para executar scripts ativos. Se você não quiser ser solicitado para todos esses sites, use as etapas descritas em "Adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer".

Adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer

Depois de definir o Internet Explorer para exigir um prompt antes de executar controles ActiveX e scripts ativos na zona da Internet e na zona da intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue a usar sites confiáveis exatamente como faz hoje, ajudando a protegê-lo contra esse ataque a sites não confiáveis. Recomendamos que adicione apenas sites em que confia à zona Sites fidedignos.

Para o fazer, siga estes passos:

1. No Internet Explorer, clique em Ferramentas, clique em Opções da Internet e, em seguida, clique na guia Segurança .
2. Na caixa Selecione uma zona de conteúdo da Web para especificar suas configurações de segurança atuais, clique em Sites Confiáveis e, em seguida, clique em Sites.
3. Se desejar adicionar sites que não exigem um canal criptografado, desmarque a caixa de seleção Exigir verificação do servidor (https:) para todos os sites nesta zona .
4. Na caixa Adicionar este Web site à zona, escreva o URL de um site em que confia e, em seguida, clique em Adicionar.
5. Repita estas etapas para cada site que você deseja adicionar à zona.
6. Clique em OK duas vezes para aceitar as alterações e retornar ao Internet Explorer.

Observação Adicione sites confiáveis para não executar ações maliciosas no sistema. Dois em particular que você pode querer adicionar são *.windowsupdate.microsoft.com e *.update.microsoft.com. Estes são os sites que irão alojar a atualização e requer um controlo ActiveX para instalar a atualização.

Ativar o Bloqueio de Protocolo de Rede do Internet Explorer para Windows XP ou sistemas com o Modo Protegido desativado

Aviso Se você usar o Editor do Registro incorretamente, poderá causar problemas sérios que podem exigir a reinstalação do sistema operacional. A Microsoft não pode garantir que você possa resolver problemas resultantes do uso incorreto do Editor do Registro. Use o Editor do Registro por sua conta e risco.

Para bloquear o protocolo "arquivo", cole o texto a seguir em um editor de texto, como o Bloco de Notas. Em seguida, salve o arquivo usando a extensão de nome de arquivo .reg.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]
"explorer.exe"=dword:00000001
"iexplore.exe"=dword:00000001
"*"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\1]
"file"="file"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\3]
"file"="file"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\4]
"file"="file"

Você pode aplicar esse arquivo .reg a sistemas individuais clicando duas vezes nele. Você também pode aplicá-lo entre domínios usando a Diretiva de Grupo. Para obter mais informações sobre a diretiva de grupo, visite os seguintes sites:

• Coleção de Diretiva de Grupo
• O que é o Editor de Objeto de Diretiva de Grupo
• Principais ferramentas e configurações da Diretiva de Grupo

Você pode aplicar esse arquivo .reg a sistemas individuais clicando duas vezes nele. Você também pode aplicá-lo entre domínios usando a Diretiva de Grupo.

Como desfazer a solução alternativa. Para reverter essa solução alternativa, cole o texto a seguir em um editor de texto, como o bloco de notas. Em seguida, salve o arquivo usando a extensão de nome de arquivo .reg.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]
"explorer.exe"=dword:00000000
"iexplore.exe"=dword:00000000

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols]

Habilite o Bloqueio de Protocolo de Rede do Internet Explorer usando o Microsoft Fix It automatizado

Consulte o artigo 980088 da Base de Dados de Conhecimento Microsoft para usar a solução automatizada Microsoft Fix it para habilitar ou desabilitar essa solução alternativa.

Impacto da solução alternativa. O conteúdo HTML de caminhos UNC na Internet / Intranet Local / Zonas restritas não executará mais automaticamente scripts ou controles ActiveX.

Outras informações

Recursos:

• Você pode fornecer comentários preenchendo o formulário visitando Ajuda e Suporte da Microsoft: Entre em contato conosco.
• Os clientes nos Estados Unidos e Canadá podem receber suporte técnico do Suporte de Segurança. Para obter mais informações sobre as opções de suporte disponíveis, consulte a Ajuda e Suporte da Microsoft.
• Os clientes internacionais podem receber suporte de suas subsidiárias locais da Microsoft. Para obter mais informações sobre como entrar em contato com a Microsoft para problemas de suporte internacional, visite Suporte internacional.
• O Microsoft TechNet Security fornece informações adicionais sobre segurança em produtos Microsoft.

Exclusão de responsabilidade:

As informações fornecidas neste comunicado são fornecidas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões:

• V1.0 (3 de fevereiro de 2010): Comunicado publicado.
• V1.1 (10 de fevereiro de 2010): Especificada a atenuação oferecida pelo Modo Protegido. Também esclareceu uma FAQ e uma solução alternativa referentes ao Modo Protegido.
• V1.2 (9 de junho de 2010): Adicionadas informações sobre o MS10-035 e esclarecida uma entrada de FAQ sobre o vetor de cache.

Construído em 2014-04-18T13:49:36Z-07:00