Source: https://technet.microsoft.com/pt-pt/library/security/ms10-065.aspx
Timestamp: 2017-08-22 15:40:50+00:00

Document:
Microsoft Security Bulletin MS10-065 - Importante
Vulnerabilidades no Serviços de Informação Internet (IIS) da Microsoft Poderiam Permitir Execução Remota de Código (2267960)
Esta actualização de segurança resolve duas vulnerabilidades comunicadas de forma privada e uma vulnerabilidade divulgada publicamente nos Serviços de Informação Internet (IIS). A mais grave destas vulnerabilidades poderia permitir execução remota de código se um cliente enviasse um pedido HTTP especialmente concebido para o efeito ao servidor. Um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter o controlo total de um sistema afectado.
Esta actualização de segurança está classificada como Importante para o IIS 5.1, IIS 6.0, IIS 7.0 e IIS 7.5. Para mais informações, consulte a subsecção Software Afectado e Software Não Afectado, nesta secção.
A actualização de segurança resolve as vulnerabilidades modificando a forma como o IIS processa pedidos HTTP especialmente concebidos para o efeito. Para mais informações sobre as vulnerabilidades, consulte a subsecção de Perguntas Mais Frequentes quanto à vulnerabilidade específica na secção seguinte, Informações sobre as vulnerabilidades.
Questões Conhecidas. O Artigo 2267960 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estas questões. Quando as questões actualmente conhecidas e soluções recomendadas software dizem respeito apenas às edições específicas deste software, este artigo não fornece ligações a outros artigos.
Serviços de Informação Internet ASP
Windows XP Service Pack 3 Serviços de Informação Internet 5.1
(KB2124261) Negação de Serviço Importante Nenhum
Windows XP Professional x64 Edition Service Pack 2 Serviços de Informação Internet 6.0
(KB2124261) Negação de Serviço Importante MS08-006
Windows Server 2003 Service Pack 2 Serviços de Informação Internet 6.0
Windows Server 2003 x64 Edition Service Pack 2 Serviços de Informação Internet 6.0
Windows Server 2003 com SP2 para sistemas baseados em Itanium Serviços de Informação Internet 6.0
Windows Vista Service Pack 1 e Windows Vista Service Pack 2 Serviços de Informação Internet 7.0
Windows Vista x64 Edition Service Pack 1 e Windows Vista x64 Edition Service Pack 2 Serviços de Informação Internet 7.0
Windows Server 2008 para sistemas de 32 bits e Windows Server 2008 para sistemas de 32 bits Service Pack 2 Serviços de Informação Internet 7.0*
Windows Server 2008 para sistemas baseados em x64 e Windows Server 2008 para sistemas baseados em x64 Service Pack 2 Serviços de Informação Internet 7.0*
Windows Server 2008 para sistemas baseados em Itanium e Windows Server 2008 para sistemas baseados em Itanium Service Pack 2 Serviços de Informação Internet 7.0
Windows 7 para sistemas de 32 bits Serviços de Informação Internet 7.5
Windows 7 para sistemas baseados em x64 Serviços de Informação Internet 7.5
Windows Server 2008 R2 para sistemas baseados em x64 Internet Information Services 7.5*
Windows Server 2008 R2 para sistemas baseados em Itanium Serviços de Informação Internet 7.5
Serviços de Informação Internet FastCGI
(KB2271195) Execução Remota de Código Importante Nenhum
Autenticação nos Serviços de Informação Internet
(KB2290570) Elevação de Privilégios Importante Nenhum
Por que razão existem três actualizações separadas para este boletim?
Existem três actualizações separadas devido à discrepância nos produtos afectados para cada vulnerabilidade resolvida neste boletim. Consulte a tabela de Software Afectado para determinar que actualizações aplicar ao seu servidor Web.
Vulnerabilidade de Negação de Serviço de Pedido de Parâmetro Repetido IIS - CVE-2010-1899
Vulnerabilidade de Sobrecarga de Memória Intermédia de Cabeçalhos de Pedido - CVE-2010-2730
Vulnerabilidade em que é ignorada a Autenticação de Directório - CVE-2010-2731
Serviços de Informação Internet 5.1 no Windows XP Service Pack 3
(KB2124261) Importante
Serviços de Informação Internet 6.0 no Windows XP Professional x64 Edition Service Pack 2
Internet Information Services 6.0 no Windows Server 2003 Service Pack 2
Internet Information Services 6.0 no Windows Server 2003 x64 Edition Service Pack 2
Internet Information Services 6.0 no Windows Server 2003 com SP2 para sistemas baseados em Itanium
Internet Information Services 7.0 no Windows Vista Service Pack 1 e Windows Vista Service Pack 2
Internet Information Services 7.0 no Windows Vista x64 Edition Service Pack 1 e Windows Vista x64 Edition Service Pack 2
Internet Information Services 7.0 no Windows Server 2008 para sistemas de 32 bits e Windows Server 2008 para sistemas de 32 bits Service Pack 2*
Internet Information Services 7.0 no Windows Server 2008 para sistemas baseados em x64 e Windows Server 2008 para sistemas baseados em x64 Service Pack 2*
Internet Information Services 7.0 no Windows Server 2008 para sistemas baseados em Itanium e Windows Server 2008 para sistemas baseados em Itanium Service Pack 2
Internet Information Services 7.5 no Windows 7 para sistemas de 32 bits
Internet Information Services 7.5 no Windows 7 para sistemas baseados em x64
Internet Information Service 7.5 no Windows Server 2008 R2 para sistemas baseados em x64*
Internet Information Service 7.5 no Windows Server 2008 R2 para sistemas baseados em Itanium
(KB2271195) Não aplicável Importante
(KB2290570) Não aplicável Não aplicável Importante
Existe uma vulnerabilidade de negação de serviço nos Serviços de Informação Internet (IIS) que poderia permitir que um intruso que explorasse com sucesso esta vulnerabilidade interrompesse o serviço, fazendo com que o servidor deixasse de responder. Um intruso poderia explorar a vulnerabilidade enviando pedidos URL especialmente concebidos para o efeito para páginas de servidor activas num Web site alojado por IIS.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2010-1899.
Factores Atenuantes para a Vulnerabilidade de Negação de Serviço de Pedido de Parâmetro Repetido IIS - CVE-2010-1899
Por predefinição, as páginas ASP são proibidas no IIS 6.0.
A vulnerabilidade apenas pode ser explorada quando o script ASP escreve parâmetros do pedido na resposta.
Soluções Alternativas para a Vulnerabilidade de Negação de Serviço de Pedido de Parâmetro Repetido IIS - CVE-2010-1899
Desactivar temporariamente o ASP no servidor IIS
Altere o estado do ASP de PERMITIDO para PROIBIDO no gestor IIS.
Execute inetmgr.exe para iniciar o gestor IIS.
Seleccione o nó Extensões do Serviço Web no nome do servidor no painel esquerdo.
Clique com o botão direito em Páginas de Servidor Activas no painel direito e seleccione Proibir.
Para Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2
Seleccione o nó do servidor no painel esquerdo.
Seleccione Mapeamentos do Processador no painel direito e clique duas vezes em AspClassic.
Clique em Restrições do Pedido, seleccione o separador Acesso e clique em Nenhum.
Clique em OK e clique em Não para desactivar a extensão ISAPI.
Impacto da solução alternativa. As páginas ASP deixarão de funcionar.
Altere o estado ASP de PROIBIDO para PERMITIDO no gestor IIS.
Clique com o botão direito em Páginas de Servidor Activas no painel direito e seleccione Permitir.
Clique em Restrições do Pedido, seleccione o separador Acesso e clique em Script.
Perguntas Mais Frequentes sobre a Vulnerabilidade de Negação de Serviço de Pedido de Parâmetro Repetido IIS - CVE-2010-1899
Esta é uma vulnerabilidade de "negação de serviço". Se um intruso enviar um pedido especialmente concebido para o efeito a um servidor Web, o servidor poderia deixar de responder. A vulnerabilidade não faz com que o servidor deixe de funcionar ou perca dados; o servidor eventualmente retomaria o seu funcionamento normal com um reinício de serviço.
Esta vulnerabilidade de negação de serviço é provocada por uma sobrecarga de pilha no código de processamento de script ASP.
Esta é uma vulnerabilidade de "negação de serviço". Um intruso que explorasse esta vulnerabilidade poderia fazer com que o sistema afectado deixasse de responder e fosse automaticamente reiniciado. Durante esse período, o servidor não poderia responder a pedidos. Se o intruso fizer com que o serviço reinicie cinco vezes, o serviço não conseguirá reiniciar sem interacção do administrador. Tenha em atenção que a vulnerabilidade na negação de serviço não permitiria que um intruso executasse o código ou elevasse os seus direitos de utilizador, mas poderia fazer com que o serviço afectado deixasse de aceitar pedidos.
Um intruso poderia enviar pedidos URL especialmente concebidos para o efeito a um Web site alojando páginas .asp para explorar esta vulnerabilidade de negação de serviço.
Todos os sistemas que executam os Serviços de Informação Internet da Microsoft podem ser afectados por esta vulnerabilidade.
Esta actualização modifica a forma como o IIS e o asp.dll processam pedidos HTTP especialmente concebidos para o efeito.
Existe uma vulnerabilidade de execução remota de código nos Serviços de Informação Internet (IIS) que um intruso poderia explorar enviando pedidos HTTP especialmente concebidos para o efeito a servidores IIS com FastCGI activado.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2010-2730.
Factores Atenuantes para a Vulnerabilidade de Sobrecarga de Memória Intermédia de Cabeçalhos de Pedido - CVE-2010-2730
Por predefinição, o FastCGI não está activado no IIS.
Soluções Alternativas para a Vulnerabilidade de Sobrecarga de Memória Intermédia de Cabeçalhos de Pedido - CVE-2010-2730
Desactivar o FastCGI
Iniciar o Server Manager e editar as Funções.
Anular a selecção da caixa de verificação CGI e clicar em Seguinte.
Impacto da solução alternativa. Os módulos que dependem do FastCGI deixarão de funcionar.
Inicie o Server Manager e adicione a funcionalidade CGI no servidor Web.
Instale o módulo de reescrita URL
Fica protegido quando este módulo é instalado, independentemente de o estar a utilizar ou não. Para informações sobre a reescrita URL, consulte Reescrita URL.
Perguntas Mais Frequentes sobre a Vulnerabilidade de Sobrecarga de Memória Intermédia de Cabeçalhos de Pedido - CVE-2010-2730
Esta é uma vulnerabilidade de execução remota de código. Um intruso remoto que conseguisse tirar partido desta vulnerabilidade poderia executar acções no servidor IIS com os mesmos direitos que o WPI (Worker Process Identity). Esta identidade está configurada para ser uma identidade virtual de conjuntos aplicacionais no Windows 7 e Windows Server 2008 R2.
Esta vulnerabilidade é provocada pela forma como os servidores IIS com FastCGI processam cabeçalhos de pedido.
O que é o FastCGI?
O FastCGI para IIS activa estruturas de aplicação frequentes que permitem que o protocolo FastCGI seja alojado no servidor Web IIS de uma forma fiável e de alto desempenho. O FastCGI fornece uma alternativa de alto desempenho à Common Gateway Interface (CGI), uma forma padrão de interface entre aplicações externas e servidores Web que foi suportada como parte da funcionalidade IIS definida desde o primeiro lançamento.
Existe uma vulnerabilidade de execução remota de código na forma como o IIS processa cabeçalhos de pedido para servidores IIS com FastCGI activado. Um intruso poderia explorar esta vulnerabilidade criando um pedido HTTP especialmente concebido para o efeito.
Servidores Web com FastCGI activado que alojam conteúdo.
Esta actualização modifica a forma como os servidores IIS com FastCGI activado processam cabeçalhos de pedido.
Existe uma vulnerabilidade de elevação de privilégios nos Serviços de Informação Internet (IIS). Um intruso que explorasse com sucesso esta vulnerabilidade poderia ignorar a necessidade de se autenticar para aceder a recursos restritos.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2010-2731.
Factores Atenuantes para a Vulnerabilidade em que é ignorada a Autenticação de Directório - CVE-2010-2731
Os sites que não utilizam autenticação não são vulneráveis. Não existe elevação de privilégios no vector de ataque para sites que apenas têm autenticação anónima.
Soluções Alternativas para a Vulnerabilidade em que é ignorada a Autenticação de Directório - CVE-2010-2731
Instalar e Usar o URLScan
O URLScan vai ajudá-lo a proteger-se contra um grande número de problemas que provêm de pedidos URL formados inadequadamente, incluindo os problemas descritos publicamente e solucionados por este boletim. O URLScan não protege o seu sistema de forma tão abrangente como o módulo de código de atenuação ou como o script global.asax em baixo. Para informações sobre o URLScan, consulte o artigo TechNet, Ferramenta de Segurança UrlScan.
Perguntas Mais Frequentes sobre a Vulnerabilidade em que é ignorada a Autenticação de Directório - CVE-2010-2731
Esta é uma vulnerabilidade de elevação de privilégios. Um intruso poderia enviar um pedido especialmente concebido para o efeito a um URL que requer autenticação para ignorar a autenticação e executar script ASP ao qual o intruso não deve ter acesso.
Esta vulnerabilidade é provocada pela forma como o IIS analisa URLs especialmente concebidos para o efeito.
O SSL ajuda a atenuar esta vulnerabilidade?
Trata-se de uma vulnerabilidade em que o directório é ignorado. O Secure Sockets Layer (SSL) não ajuda a atenuar esta vulnerabilidade.
Um intruso poderia utilizar esta vulnerabilidade para ignorar a autenticação básica baseada em directório e aceder e executar recursos que devem requerer autenticação.
Um intruso poderia enviar um URL especialmente concebido para o efeito para ignorar a autenticação básica baseada em directório.
Os serviços Web que utilizam a autenticação básica estão susceptíveis a esta vulnerabilidade.
Esta actualização modifica a forma como o IIS processa pedidos especialmente concebidos para o efeito para impedir que utilizadores não autenticados acedam a recursos alojados no servidor IIS que devem requerer autenticação.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2010-2731.
Instalação sem intervenção do utilizador Para Serviços de Informação Internet 5.1 ASP no Windows XP Service Pack 3 (KB2124261):
Para Serviços de Informação Internet 6.0 ASP no Windows XP Professional x64 Edition Service Pack 2 (KB2124261):
Para Autenticação nos Serviços de Informação Internet 5.1 no Windows XP Service Pack 3 (KB2290570):
Instalação sem reiniciar Para Serviços de Informação Internet 5.1 ASP no Windows XP Service Pack 3 (KB2124261):
Ficheiro log da actualização Para Serviços de Informação Internet 5.1 ASP no Windows XP Service Pack 3 (KB2124261) e Serviços de Informação Internet 6.0 ASP no Windows XP Professional x64 Edition Service Pack 2 (KB2124261):
Informações de Remoção Para Serviços de Informação Internet 5.1 ASP no Windows XP Service Pack 3 (KB2124261) e Serviços de Informação Internet 6.0 ASP no Windows XP Professional x64 Edition Service Pack 2 (KB2124261); utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB2124261$\Spuninst
Para Autenticação nos Serviços de Informação Internet 5.1 no Windows XP Service Pack 3 (KB2290570), utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB2290570$\Spuninst
Informações de Ficheiros Para Serviços de Informação Internet 5.1 ASP no Windows XP Service Pack 3 (KB2124261) e Serviços de Informação Internet 6.0 ASP no Windows XP Professional x64 Edition Service Pack 2 (KB2124261), consulte o Artigo 2124261 da Base de Dados de Conhecimento da Microsoft
Para Autenticação nos Serviços de Informação Internet 5.1 no Windows XP Service Pack 3 (KB2290570), consulte o Artigo 2290570 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo Para Serviços de Informação Internet 5.1 ASP no Windows XP Service Pack 3 (KB2124261):
Ficheiro log da actualização KB2124261.log
Informações de Remoção Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB2124261$\Spuninst
Informações de Ficheiros Consulte o Artigo 2124261 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB2124261\Filelist
Instalação sem intervenção do utilizador Para Serviços de Informação Internet 7.5 ASP no Windows 7 para sistemas de 32 bits (KB2124261):
Para Serviços de Informação Internet 7.5 ASP no Windows 7 para sistemas baseados em 64 bits (KB2124261):
Para Serviços de Informação Internet 7.5 FastCGI no Windows 7 para sistemas de 32 bits (KB2271195):
Para Serviços de Informação Internet 7.5 FastCGI no Windows 7 para sistemas baseados em 64 bits (KB2271195):
Instalação sem reiniciar Para Serviços de Informação Internet 7.5 ASP no Windows 7 para sistemas de 32 bits (KB2124261):
Informações de Ficheiros Para Serviços de Informação Internet 7.5 ASP no Windows 7 para sistemas de 32 bits (KB2124261) e Serviços de Informação Internet 7.5 ASP no Windows 7 para sistemas baseados em 64x (KB2124261):
Consulte o Artigo 2124261 da Base de Dados de Conhecimento da Microsoft
Para Serviços de Informação Internet 7.5 FastCGI no Windows 7 para sistemas de 32 bits (KB2271195) e Serviços de Informação Internet 7.5 FastCGI no Windows 7 para sistemas baseados em 64x (KB2271195):
Consulte o Artigo 2271195 da Base de Dados de Conhecimento da Microsoft
Instalação sem intervenção do utilizador Para Serviços de Informação Internet 7.5 ASP no Windows Server 2008 R2 para sistemas baseados em x64 (KB2124261):
Para Serviços de Informação Internet 7.5 ASP no Windows Server 2008 R2 para sistemas baseados em Itanium (KB2124261):
Para Serviços de Informação Internet 7.5 FastCGI no Windows Server 2008 R2 para sistemas baseados em x64 (KB2271195):
Para Serviços de Informação Internet 7.5 FastCGI no Windows Server 2008 R2 para sistemas baseados em Itanium (KB2271195):
Instalação sem reiniciar Para Serviços de Informação Internet 7.5 ASP no Windows Server 2008 R2 para sistemas baseados em x64 (KB2124261):
Informações de Ficheiros Para Sistemas de Informação Internet 7.5 ASP no Windows Server 2008 R2 para sistemas baseados em x64 (KB2124261) e Sistemas de Informação Internet 7.5 ASP no Windows Server 2008 R2 para sistemas baseados em Itanium (KB2124261):
Para Sistemas de Informação Internet 7.5 FastCGI no Windows Server 2008 R2 para sistemas baseados em x64 (KB2271195) e Sistemas de Informação Internet 7.5 FastCGI no Windows Server 2008 R2 para sistemas baseados em Itanium (KB2271195):
Jinsik Shim, por fornecer informações sobre a Vulnerabilidade de Negação de Serviço de Pedido de Parâmetro Repetido IIS (CVE-2010-1899)
Travis Raybold, da Rubicon West, por fornecer informações sobre a Vulnerabilidade de Sobrecarga de Memória Intermédia de Cabeçalhos de Pedido (CVE-2010-2730)

References: Artigo 2267960
 Artigo 2124261
 Artigo 2290570
 Artigo 2124261
 Artigo 2124261
 Artigo 2271195