Source: https://technet.microsoft.com/pt-pt/library/security/ms08-037.aspx
Timestamp: 2018-05-28 08:17:29+00:00

Document:
Microsoft Security Bulletin MS08-037 - Importante
Vulnerabilidades no DNS poderiam permitir Falsificações (Spoof) (953230)
Data de publicação: 8 de julho de 2008 | Updated: 9 de dezembro de 2009
Esta actualização de segurança resolve duas vulnerabilidades no Sistema de Nomes de Domínio (DNS) do Windows, comunicadas de forma privada, que poderiam permitir falsificações (spoof). Estas vulnerabilidades ocorrem tanto no cliente DNS como no servidor DNS e poderiam permitir que um intruso remoto redireccionasse tráfego de rede destinado a sistemas na Internet para os sistemas do próprio intruso.
Esta actualização de segurança está classificada como Importante para todas as edições suportadas do Microsoft Windows 2000, Windows XP, Windows Server 2003 e Windows Server 2008. Para mais informações, consulte a subsecção Software Afectado e Software Não Afectado, nesta secção.
A actualização de segurança resolve as vulnerabilidades através de IDs de transacções DNS aleatórias muito seguras, de sockets aleatórios para pedidos UDP e da actualização da lógica usada para gerir a cache DNS. Para mais informações sobre a vulnerabilidade, consulte a subsecção de Perguntas Mais Frequentes (FAQ) quanto à vulnerabilidade específica na secção seguinte, Informações sobre as vulnerabilidades.
Questões conhecidas. O Artigo 953230 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão verificar quando instalam esta actualização de segurança.
Cliente DNS (KB951748)
Servidor DNS (KB951746)
Microsoft Windows 2000 Service Pack 4 Consulte a linha em baixo Spoofing Importante MS08-001,
Consulte a linha em cima Microsoft Windows 2000 Server Service Pack 4 Spoofing Importante MS07-062
Windows XP Service Pack 2 Não aplicável Spoofing Importante MS06-064,
Windows XP Service Pack 3 Não aplicável Spoofing Importante Nenhum
Windows XP Professional x64 Edition Não aplicável Spoofing Importante MS06-064,
Windows XP Professional x64 Edition Service Pack 2 Não aplicável Spoofing Importante MS08-001
Windows Server 2003 Service Pack 1 Consulte a linha em baixo Spoofing Importante MS06-064,
Windows Server 2003 Service Pack 2 Consulte a linha em baixo Spoofing Importante MS08-001
Consulte a linha em cima Windows Server 2003 Service Pack 1 e Windows Server 2003 Service Pack 2 Spoofing Importante MS07-062
Windows Server 2003 x64 Edition Consulte a linha em baixo Spoofing Importante MS06-064,
Windows Server 2003 x64 Edition Service Pack 2 Consulte a linha em baixo Spoofing Importante MS08-001
Consulte a linha em cima Windows Server 2003 x64 Edition e Windows Server 2003 x64 Edition Service Pack 2 Spoofing Importante MS07-062
Windows Server 2003 com SP1 para sistemas baseados em Itanium Consulte a linha em baixo Spoofing Importante MS06-064,
Windows Server 2003 com SP2 para sistemas baseados em Itanium Consulte a linha em baixo Spoofing Importante MS08-001
Consulte a linha em cima Windows Server 2003 com SP1 para sistemas baseados em Itanium e Windows Server 2003 com SP2 para sistemas baseados em Itanium Spoofing Importante MS07-062
Não aplicável Windows Server 2008 para sistemas de 32 bits* Spoofing Importante Nenhum
Não aplicável Windows Server 2008 para sistemas baseados em x64* Spoofing Importante Nenhum
Por que razão foi relançado este boletim a 8 de Dezembro de 2009?
A Microsoft relançou este boletim para voltar a oferecer a actualização para o cliente DNS no Microsoft Windows 2000 Service Pack 4 (KB951748), fornecendo IDs de transacções DNS aleatórias muito seguras para um caminho de código adicional. Ao contrário de outras plataformas Windows, no Microsoft Windows 2000 há dois caminhos de código para transacções DNS. A actualização anterior fornecia apenas a aleatoriedade de ID de transacção num dos caminhos de código. O relançamento desta actualização fornece a mesma aleatoriedade de ID de transacção ao outro caminho de código no Microsoft Windows 2000. Os clientes que tenham instalado previamente a actualização para o cliente DNS no Microsoft Windows 2000 Service Pack 4 (KB951748) necessitam de instalar a actualização que é novamente oferecida de forma automática. Nenhuma outra actualização é afectada por este relançamento.
Por que razão foi revisto este boletim de segurança a 13 de Janeiro de 2009?
A Microsoft reviu este boletim para comunicar que a actualização oferecida por este boletim pode não ter sido correctamente oferecida para todos os sistemas que utilizam o Windows XP Service Pack 3. A questão de detecção e implementação foi resolvida e os clientes que possuem sistemas com o Windows XP Service Pack 3 e que ainda não tenham aplicado a actualização deste boletim terão agora acesso à actualização correcta. Não foram efectuadas alterações aos binários desta actualização. Os clientes que actualizaram os seus sistemas com sucesso não necessitam de reinstalar esta actualização.
Por que razão foi revisto este boletim de segurança a 25 de Julho de 2008?
A Microsoft reviu este boletim de segurança para adicionar três questões conhecidas à secção Perguntas Mais Frequentes (FAQs) relativas a esta actualização de segurança. As Perguntas Mais Frequentes são as seguintes:
Quais são as questões relacionadas com conflito de portas com que os clientes se poderão deparar após instalarem esta actualização de segurança?
Os servidores DNS que executam serviços adicionais que exijam portas UDP estáticas dentro da gama de portas que o servidor DNS atribui para o seu conjunto de sockets poderão experimentar conflitos entre portas que poderão resultar em falhas de serviço. Para informação adicional, o Artigo 953230 da base de dados de conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão experimentar quando instalam esta actualização de segurança.
Quais são as questões com que os clientes SBS se poderão deparar após instalarem esta actualização de segurança?
As edições suportadas do Windows Small Business Server (SBS) 2003 contêm o mesmo código afectado que o Windows Server 2003 Service Pack 1 e o Windows Server 2003 Service Pack 2. Contudo, os sistemas SBS poderão deparar-se com falhas de serviço ou não funcionar correctamente após instalarem a actualização de segurança para o servidor DNS oferecida neste boletim. Para informação adicional, o Artigo 953230 da base de dados de conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão experimentar quando instalam esta actualização de segurança.
Quais são as questões que poderão afectar as firewalls de perímetro e os dispositivos NAT após a instalação desta actualização?
Após instalar a actualização de segurança oferecida por este boletim num computador baseado em Windows, as consultas DNS realizadas por esse anfitrião, através de uma firewall, poderão já não usar portas de origem aleatórias. Para informação adicional, o Artigo 953230 da base de dados de conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão experimentar quando instalam esta actualização de segurança.
Por que razão foi revisto este boletim de segurança a 23 de Julho de 2008?
A Microsoft reviu este boletim de segurança para incluir os boletins MS06-064, MS07-062 e MS08-001 na lista de boletins substituídos por esta actualização.
Por que razão foi revisto este boletim de segurança a 10 de Julho de 2008?
A Microsoft reviu este boletim de segurança para informar os utilizadores do ZoneAlarm e do Check Point Endpoint Security (anteriormente conhecido como Check Point Integrity), da Check Point Software Technologies Ltd., sobre uma questão de ligação à Internet detalhada na pergunta frequente que se segue. A revisão não alterou os ficheiros de actualização de segurança neste boletim. Os clientes que já tenham aplicado a actualização não necessitam de aplicá-la novamente. No entanto, os utilizadores do software acima mencionado, da Check Point, devem ler a seguinte pergunta frequente para obter orientações adicionais.
Qual é a questão que os utilizadores do ZoneAlarm e do Check Point Endpoint Security podem verificar após a instalação desta actualização?
A Microsoft tem conhecimento de relatórios recentes sobre utilizadores do ZoneAlarm e do Check Point Endpoint Security (anteriormente conhecido como Check Point Integrity), da Check Point Software Technologies Ltd., que verificam questões de ligação à Internet após a aplicação das actualizações de segurança oferecidas pelo boletim de segurança MS08-037. A Microsoft continua a investigar esta questão com a Check Point. A Microsoft incentiva os utilizadores do ZoneAlarm e do Check Point Endpoint Security a consultarem o Web site adequado da Check Point e este boletim de serviço para obter as mais recentes orientações ou actualizações de software.
A Microsoft fornece informações de contacto de terceiros para o ajudar a obter suporte técnico. Esta informação de contacto pode ser alterada sem aviso prévio. A Microsoft não garante a precisão destas informações de contacto de terceiros. Os produtos de terceiros debatidos neste artigo são fabricados por empresas independentes da Microsoft. A Microsoft não oferece qualquer garantia, implícita ou outra, sobre o desempenho ou fiabilidade destes produtos.
Quais são as questões associadas à desinstalação que os clientes poderão verificar após instalarem estas actualizações de segurança?
As edições suportadas dos sistemas Microsoft Windows 2000 e Windows 2003 receberão a actualização do servidor DNS, bem com as actualizações do cliente DNS. A actualização do servidor DNS e as actualizações do cliente DNS partilham binários e têm de ser desinstaladas pela ordem inversa à ordem segundo a qual foram instaladas, para evitar reverter os binários partilhados para versões anteriores. O Artigo 823836 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando desinstalam estas actualizações de segurança.
Quais são as questões associadas à ligação aleatória de sockets que os clientes poderão verificar quando instalam esta actualização de segurança?
Por predefinição, as actualizações do DNS oferecidas por este boletim de segurança farão uso de um grande número de sockets disponíveis e proporcionarão maior entropia. No entanto, se o utilizador tiver definido gamas de portas no registo, então as actualizações respeitarão as configurações definidas pelo utilizador e apenas serão atribuídos os sockets definidos.
As gamas de sockets podem ser definidas na seguinte localização de registo:
Nota O serviço DNS tem de ser reiniciado para implementar estas alterações.
O que fará a definição de gamas de conjuntos de sockets?
Poderá ser necessário definir a gama de sockets à disposição do DNS para evitar entrar em conflito com outras aplicações ou serviços que necessitam do mesmo conjunto de sockets para as suas comunicações. Consulte MaxUserPort e o Artigo 812873 da Base de Dados de Conhecimento da Microsoft para mais detalhes sobre as definições destas chaves de registo.
Quais são as diferenças entre sistemas operativos ao definir as gamas de conjuntos de sockets?
A chave de registo MaxUserPort tem significados diferentes no Windows Vista e Windows Server 2008 em relação ao Microsoft Windows Server 2000 e no Windows Server 2003. O Artigo 929851 da Base de Dados de Conhecimento da Microsoft indica a alteração de comportamento para o Windows Vista e Windows Server 2008.
No Microsoft Windows Server 2000 e Windows Server 2003, configurar a chave MaxUserPort define o ponto limite da gama de portas dinâmicas. A gama começa em 1024 e continua para o valor definido pelo utilizador na definição da chave de registo MaxUserPort. Após instalar as actualizações oferecidas por este boletim de segurança, o comportamento predefinido no Microsoft Windows Server 2000 e Windows Server 2003 será atribuir os sockets aleatoriamente entre as gamas de portas 49152 e 65535. Se a gama de MaxUserPort tiver sido definida, as portas serão atribuídas aleatoriamente a partir de 1024 para o valor definido na configuração da chave de registo MaxUserPort. Visite o Artigo 812873 da Base de Dados de Conhecimento da Microsoft para obter mais informações sobre como reservar gamas de portas no Microsoft Windows 2000 Server e Windows Server 2003.
No Windows Vista e Windows Server 2008, configurar a MaxUserPort define o ponto inicial da gama de portas dinâmicas. Por predefinição, no Windows Vista e Windows Server 2008, a gama varia entre 49152 e 65535.
Os pormenores sobre as informações do ficheiro podem ser encontrados no Artigo 953230 da Base de Dados de Conhecimento da Microsoft.
Vulnerabilidade de Entropia Insuficiente no Socket DNS - CVE-2008-1447
Vulnerabilidade de Contaminação de Cache no DNS - CVE-2008-1454
Existe uma vulnerabilidade de falsificação (spoof) no cliente Windows DNS e no servidor Windows DNS. Esta vulnerabilidade poderia permitir que um intruso remoto não autenticado falsificasse respostas de forma rápida e fiável e introduzisse registos no servidor DNS ou cache do cliente, o que permitiria o redireccionamento de tráfego da Internet.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte o boletim CVE-2008-1447.
Factores Atenuantes para a Vulnerabilidade de Entropia Insuficiente no Socket DNS - CVE-2008-1447
Os protocolos criptográficos que operam acima das camadas TCP e IP, como o IPsec ou o SSL/TLS, poderão impedir que um intruso consiga controlar ou interferir com o tráfego redireccionado.
Soluções Alternativas para a Vulnerabilidade de Entropia Insuficiente no Socket DNS - CVE-2008-1447
Perguntas Mais Frequentes sobre a Vulnerabilidade de Entropia Insuficiente no Socket DNS - CVE-2008-1447
Existe uma vulnerabilidade de falsificação (spoof) no cliente Windows DNS e no servidor DNS. Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia introduzir endereços arbitrários na cache DNS.
Um intruso poderia enviar consultas específicas para um servidor ou cliente DNS vulnerável e, ao mesmo tempo, responder de um modo que permitisse ao intruso introduzir dados DNS falsos ou enganadores. Então, o intruso poderia redireccionar tráfego da Internet de localizações legítimas para um endereço à escolha do intruso.
Qualquer sistema Windows ligado a uma rede ou à Internet poderia estar susceptível. O Windows Vista e o Windows Server 2008 não são afectados por esta vulnerabilidade.
A actualização remove esta vulnerabilidade utilizando valores de ID de transacções DNS aleatórias muito seguras e sockets UDP aleatórios para consultas remotas.
Existe uma vulnerabilidade de contaminação da cache no servidor DNS do Windows. A vulnerabilidade poderia permitir que um intruso remoto não autenticado enviasse respostas especialmente concebidas para pedidos de DNS efectuados por sistemas vulneráveis e, assim, contaminar a cache DNS e redireccionar tráfego da Internet a partir de localizações legítimas.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte o boletim CVE-2008-1454.
Factores Atenuantes para a Vulnerabilidade de Contaminação de Cache no DNS - CVE-2008-1454
Soluções Alternativas para a Vulnerabilidade de Contaminação de Cache no DNS - CVE-2008-1454
Perguntas Mais Frequentes sobre a Vulnerabilidade de Contaminação de Cache no DNS - CVE-2008-1454
Existe uma vulnerabilidade de contaminação da cache no servidor DNS do Windows. Um intruso que explorasse esta vulnerabilidade com êxito poderia introduzir dados DNS falsos ou enganadores ao responder a pedidos DNS específicos, redireccionado o tráfego da Internet.
Em determinadas condições, o servidor DNS aceita registos de uma resposta externa à autoridade do servidor remoto.
O Sistema de Nomes de Domínio (DNS) é um dos conjuntos de protocolos padrão da indústria que incluem o TCP/IP. O DNS é implementado usando dois componentes de software: o servidor DNS e o cliente DNS (ou resolução). Ambos os componentes são executados como aplicações de serviços em plano de fundo. Os recursos de rede são identificados por endereços IP numéricos, mas estes endereços IP são difíceis de recordar por parte dos utilizadores de rede. A base de dados de DNS contém registos, que mapeiam nomes alfanuméricos fáceis de utilizar para recursos de rede, para o endereço de IP usado por esses recursos para efeitos de comunicação. Deste modo, o DNS funciona como um dispositivo mnemónico, tornando os recursos de rede mais fáceis de lembrar para utilizadores de rede. Para mais informações e para ver diagramas lógicos que ilustram a forma como o DNS se ajusta a outras tecnologias Windows, consulte o artigo sobre O que é o DNS.
Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia contaminar a cache DNS.
Um intruso que explorasse esta vulnerabilidade com êxito poderia introduzir dados DNS falsos ou enganadores ao responder a pedidos DNS específicos, redireccionado o tráfego da Internet.
Os servidores DNS do Windows estão susceptíveis.
A actualização remove a vulnerabilidade corrigindo o processamento de DNS interno de modo a impedir a contaminação da cache.
Instalação sem intervenção do utilizador Para a actualização do servidor DNS para o Microsoft Windows 2000 Service Pack 4:
Para a actualização do cliente DNS para o Microsoft Windows 2000 Service Pack 4:
Instalação sem reiniciar Para a actualização do servidor DNS para o Microsoft Windows 2000 Service Pack 4:
Ficheiro log da actualização Para a actualização do servidor DNS para o Microsoft Windows 2000 Service Pack 4:
Informações de Remoção Para a actualização do servidor DNS para o Microsoft Windows 2000 Service Pack 4:
Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB951746$\Spuninst
Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB951748$-v2\Spuninst
Informações de Ficheiros Consulte o Artigo 953230 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo Para a actualização do servidor DNS para o Microsoft Windows 2000 Service Pack 4:
Ficheiro log da actualização kb951748.log
Informações de Remoção Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallkb951748$\Spuninst
Instalação sem intervenção do utilizador Para a actualização do servidor DNS para todas as edições suportadas de 32 bits do Windows Server 2003:
Para a actualização do cliente DNS para todas as edições suportadas de 32 bits do Windows Server 2003:
Para a actualização do servidor DNS para todas as edições suportadas baseadas em x64 do Windows Server 2003:
Para a actualização do cliente DNS para todas as edições suportadas baseadas em x64 do Windows Server 2003:
Para a actualização do servidor DNS para todas as edições suportadas baseadas em Itanium do Windows Server 2003:
Para a actualização do cliente DNS para todas as edições suportadas baseadas em Itanium do Windows Server 2003:
Instalação sem reiniciar Para a actualização do servidor DNS para todas as edições suportadas de 32 bits do Windows Server 2003:
Ficheiro log da actualização Para a actualização do servidor DNS para o Windows Server 2003: kb951746.log
Para a actualização do cliente DNS para o Windows Server 2003: kb951748.log
Informações de Remoção Para a actualização do servidor DNS para o Windows Server 2003, utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallkb951746$\Spuninst
Para a actualização do cliente DNS para o Windows Server 2003, utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallkb951748$\Spuninst
Verificação da Chave de Registo Para a actualização do servidor DNS para o Windows Server 2003: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\kb951746\Filelist
Para a actualização do cliente DNS para o Windows Server 2003: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\kb951748\Filelist
Dan Kaminsky, da IOActive, por fornecer informações sobre a Vulnerabilidade de Entropia de Sockets Insuficiente (CVE-2008-1447)
V2.0 (10 de Julho de 2008): Boletim revisto para informar os utilizadores do ZoneAlarm e do Check Point Endpoint Security sobre uma questão de ligação à Internet detalhada na secção de Perguntas Mais Frequentes relativas a esta Actualização de Segurança. A revisão não resultou em quaisquer alterações nos ficheiros de actualização de segurança neste boletim, mas os utilizadores do ZoneAlarm e do Check Point Endpoint Security devem ler as entradas das perguntas mais frequentes para obter orientações.
V2.1 (23 de Julho de 2008): Tabela de Software Afectado revista para adicionar os boletins MS06-064, MS07-062 e MS08-001 como boletins substituídos por esta actualização.
V2.2 (25 de Julho de 2008): Acrescentadas três entradas de questões conhecidas à secção Perguntas Mais Frequentes relativas a esta actualização de segurança.
V2.3 (13 de Janeiro de 2009): Adicionada uma nova entrada à secção de Perguntas Mais Frequentes relativas a esta Actualização de Segurança, para comunicar a resolução de uma questão de detecção e implementação com o Windows XP Service Pack 3. Os binários e os pacotes desta actualização não foram alterados. Os clientes que actualizaram os seus sistemas com sucesso não necessitam de reinstalar esta actualização.
V3.0 (8 de Dezembro de 2009): Actualização efectuada para comunicar o relançamento da actualização de segurança para o cliente DNS no Microsoft Windows 2000 Service Pack 4 (KB951748). Corrigida também a informação relativa à substituição do boletim para esta actualização. Os clientes que tenham instalado previamente esta actualização necessitam de reinstalar a actualização que é novamente oferecida de forma automática. Nenhuma outra actualização é afectada por este relançamento.
V3.1 (9 de Dezembro de 2009): Corrigida a verificação da chave de registo e as informações de remoção na tabela de referência para o cliente DNS no Microsoft Windows 2000 Service Pack 4 (KB951748). Trata-se de uma alteração informativa apenas.

References: Artigo 953230
 Artigo 953230
 Artigo 953230
 Artigo 953230
 Artigo 823836
 Artigo 812873
 Artigo 929851
 Artigo 812873
 Artigo 953230
 Artigo 953230