Source: https://technet.microsoft.com/pt-pt/library/security/ms06-011.aspx
Timestamp: 2018-05-23 00:20:06+00:00

Document:
Microsoft Security Bulletin MS06-011 - Importante
DACLs de Serviços Windows Permissivos poderiam permitir Elevação de Privilégios (914798)
Data de publicação: 14 de março de 2006 | Updated: 13 de junho de 2006
Substituição de Actualizações de Segurança Nenhuma.
Avisos: O Artigo 914798 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão experimentar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estes problemas. Para obter mais informações, consulte o Artigo 914798 da Base de Dados de Conhecimento da Microsoft.
Microsoft Windows XP Service Pack 1 - Transferir a actualização
Microsoft Windows Server 2003 com Service Pack 1 para Sistemas baseados em Itanium
DACLs de Serviços Windows Permissivos - CVE-2006-0023 Elevação de Privilégios
Nenhuma Nenhuma Importante
Nenhuma Moderada Nenhuma
Por que razão decidiu a Microsoft voltar a publicar este boletim em 13 de Junho de 2006?
A Microsoft actualizou este boletim e as actualizações de segurança associadas para incluir os valores da chave de registo actualizados para os serviços NetBT, RemoteAccess e TCPIP. Estes valores foram modificados de forma a serem os mesmos do Windows XP Service Pack 2 em sistemas Windows XP Service Pack 1. Os clientes que executam o Windows XP Service Pack 1 são aconselhados a aplicar esta actualização revista para estarem mais seguros contra elevação de privilégios através destes serviços, como descrito na secção Detalhes da Vulnerabilidade deste boletim de segurança. Os sistemas Windows 2003 sem a aplicação de um service pack não são afectados por este relançamento. Para obter mais informações e conhecer os valores das chaves de registo actualizados, consulte o artigo 914798 da Base de Dados de Conhecimento da Microsoft.
A actualização de segurança revista não contém alterações aos binários incluídos na actualização de segurança inicial. Durante a instalação, a actualização de segurança revista irá actualizar os valores de registo para os serviços NetBT, RemoteAccess e TCPIP, como indicado no artigo 914798 da Base de Dados de Conhecimento da Microsoft.
O Artigo 914798 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão experimentar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estes problemas. Para obter mais informações, consulte o Artigo 914798 da Base de Dados de Conhecimento da Microsoft.
Por que razão não são aplicados no sistema ficheiros actualizados após a instalação desta actualização?
Para sistemas Windows XP Service Pack 1, esta actualização define a lista de controlo de acesso discricionário (DACL) de serviços com as mesmas definições do Windows XP Service Pack 2. Para o Windows 2003, sem service packs instalados, esta actualização define as DACLs de serviços seleccionadas de acordo com as definições do Windows 2003 Service Pack 1. Estas alterações de configuração são efectuadas pelo programa de instalação e não são actualizados quaisquer ficheiros do sistema como resultado da aplicação desta actualização de segurança.
Poderei desinstalar esta actualização?
Visto que nenhum dos ficheiros do sistema é modificado como resultado da aplicação desta actualização, esta actualização não pode ser removida. Para o Windows 2003 sem service pack instalado e para sistemas Windows XP SP1, esta actualização define a lista de controlo de acesso discricionário (DACL) para as definições do Windows 2003 SP1 e do Windows XP SP2. Estas alterações de configuração são efectuadas pelo programa de instalação e não são actualizados quaisquer ficheiros do sistema como resultado da aplicação desta actualização de segurança. Contudo, as alterações podem ser revertidas utilizando os utilitários do sistema. Para saber mais sobre como remover e restaurar as alterações de configuração da DACL efectuadas por esta actualização, consulte o Artigo 914798 da Base de Dados de Conhecimento da Microsoft.
Sim. Para além dos serviços anteriormente identificados na secção “Detalhes sobre a Vulnerabilidade” do boletim, a actualização também modifica DACLs para o serviço e chaves de registo do serviço listadas na tabela abaixo para fornecer protecção defensiva profunda adicional. Estes serviços adicionais e chaves de registo de serviço definem as DACLs para os serviços indicados em baixo são os mesmos do que o Windows XP Service Pack 2 em sistemas Windows XP Service Pack 1 e Windows 2003 Service Pack 1 em sistemas Windows 2003 sem service pack aplicado. Para informações adicionais sobre estes e outros serviços e mudanças nas DACLs de chave de registo incluídas nesta actualização, consulte o artigo 914798 da Base de Dados de Conhecimento da Microsoft.
Serviço Adicional e Alterações à Chave de Registo Incluídos nesta Actualização
Sistema operativo Serviço Chave de registo
Não. O software incluído na lista do Resumo Executivo foi testado para determinar se todas as suas versões são afectadas. As outras versões ou não são abrangidas pelo suporte de actualizações de segurança ou podem não ser afectadas. Para determinar o ciclo de vida do suporte do seu produto e versão visite o Web site do Ciclo de Vida do Suporte Microsoft.
Sim. O MBSA 1.2.1 permite determinar se esta actualização é necessária. Para mais informações sobre o MBSA, visite o Web site do MBSA. Visto que esta actualização não pode ser desinstalada, se as DACLs afectadas forem alteradas ou restauradas para um estado anterior, os utilizadores terão de editar o registo do MBSA para identificar correctamente a necessidade desta actualização novamente. Para informações sobre como alterar o registo do MBSA 1.2.1 para identificar a remoção manual desta actualização, consulte o Artigo 914798 da Base de Dados de Conhecimento da Microsoft.
Sim. O MBSA 2.0 permite determinar se esta actualização é necessária. O MBSA 2.0 detecta actualizações de segurança para produtos suportados pelo Microsoft Update. Para mais informações sobre o MBSA, visite o Web site do MBSA. Visto que esta actualização não pode ser desinstalada, se as DACLs afectadas forem alteradas ou restauradas para um estado anterior, os utilizadores terão de editar o registo do MBSA para identificar correctamente a necessidade desta actualização novamente. Para informações sobre como alterar o registo do MBSA 2.0 para identificar a remoção manual desta actualização, consulte o Artigo 914798 da Base de Dados de Conhecimento da Microsoft.
A ferramenta Security Update Inventory Tool pode ser utilizada por SMS para detectar actualizações de segurança que são oferecidas pelo Windows Update, que são suportadas pelos Software Update Services, e outras actualizações de segurança que são suportadas pelo MBSA 1.2.1. Para mais informações sobre a ferramenta Security Update Inventory Tool, visite o seguinte Web site da Microsoft. Para mais informações sobre as limitações da ferramenta Security Update Inventory Tool, consulte o Artigo 306460 da Base de Dados de Conhecimento da Microsoft.
A ferramenta SMS 2003 Inventory Tool for Microsoft Updates pode ser usada pelo SMS para detectar actualizações de segurança que foram oferecidas pelo Microsoft Update e que são suportadas pelos Windows Server Update Services. Para obter mais informações sobre a ferramenta SMS 2003 Inventory Tool for Microsoft Updates, visite o seguinte Web site da Microsoft.
DACLs de Serviços Windows Permissivos poderiam permitir elevação de privilégios - CVE-2006-0023
Existe uma vulnerabilidade de elevação de privilégios no Windows XP Service Pack 1 nos serviços Windows identificados, em que as permissões estão predefinidas para um nível que pode permitir a um utilizador com poucos privilégios alterar as propriedades associadas ao serviço. No Windows 2003, as permissões nos serviços identificados estão definidas para um nível que pode permitir a um utilizador pertencente ao grupo de operadores de configuração de rede alterar propriedades associadas ao serviço. Apenas os membros do grupo de operadores de configuração de rede na máquina atingida podem atacar remotamente o Windows Server 2003 e este grupo está pré-definido para não conter utilizadores. A vulnerabilidade poderia permitir que um utilizador com credenciais válidas de início de sessão tomasse controlo total do sistema no Microsoft Windows XP Service Pack 1.
Factores atenuantes para DACLs de Serviços Windows Permissivos poderiam permitir elevação de privilégios - CVE-2006-0023
Um intruso tem de ter credenciais de início de sessão válidas para poder explorar esta vulnerabilidade. A vulnerabilidade não pode ser explorada por utilizadores anónimos.
Quatro dos seis serviços identificados (NetBT, SCardSvr, DHCP, DnsCache) requerem que um intruso já esteja a trabalhar num contexto de segurança com privilégios. Além disso, os dois serviços, SSDPSRV e UPNPHost, que permitem a um utilizador autenticado atacar um sistema vulnerável, apenas estão vulneráveis no Windows XP Service Pack 1.
Soluções alternativas para Vulnerabilidade em DACLs de Serviços Windows poderia permitir elevação de privilégios - CVE-2006-0023:
A Microsoft testou as seguintes soluções alternativas. As soluções alternativas identificadas alteram as DACLs predefinidas no Windows XP Service Pack 1 e no Windows Server para as DACLs de segurança avançada que são utilizadas no Windows XP Service Pack 2 e no Windows Server 2003 Service Pack 1. Por isso, são consideradas soluções completas para esta questão. Visto que há algum tempo que os controlos de acesso recomendados acompanham os sistemas operativos mais recentes, à partida, estes representam pouco risco. Contudo, qualquer alteração à DACL comporta algum risco de incompatibilidade entre aplicações.
Utilize o comando sc.exe para definir os controlos de acesso modificados para os serviços identificados:
Nota Deve executar o comando sc.exe como utilizador com privilégios. Pode executar este comando utilizando um script de arranque do computador, ou utilizando um script SMS. Ao executar este comando, a segurança das DACLs será aumentada, para que tenham o mesmo nível de segurança das do Windows XP Service Pack 2 e do Windows Server 2003 Service Pack 1. Para mais informações sobre o comando sc.exe e sobre como definir as DACLs para serviços Windows, consulte a seguinte Documentação de Produto Microsoft. Para esta medida de atenuação, não é necessário reiniciar o computador.
Para o Windows XP Service Pack 1, execute cada um dos seguintes comandos. Cada comando altera a DACL no serviço afectado associado.
Para o Windows Server 2003, execute cada um dos seguintes comandos. Cada comando altera a DACL no serviço afectado associado.
Nota Para o Windows Server 2003, os únicos serviços afectados identificados são NetBT, DnsCache e DHCP. No cenário do Windows Server 2003, um ataque tem de ser lançado por um membro do grupo de Operadores de Configuração de Rede. Por predefinição, o campo deste grupo encontra-se vazio.
Utilize a Política de Grupos para implementar controlos de acesso modificados para os serviços identificados.
Os administradores de domínio podem utilizar a Política de Grupos e os modelos de segurança para implementar os comandos de acesso modificados nos sistemas Windows XP Service Pack 1. Para mais informações sobre como implementar modelos de segurança utilizando a Política de Grupos, consulte o Artigo 816585 da Base de Dados de Conhecimento da Microsoft. Não é necessário reiniciar o computador para executar esta medida de atenuação.
Para o Windows XP Service Pack 1, utilize o seguinte modelo de segurança para modificar os serviços Upnphost, SCardSvr, SSDPSRV, DnsCache e DHCP.
SSDPSRV,2."D:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-32-549)(A;;CCLCSWRPLORC;;;AU)(A;;RPWPDTRC;;;S-1-5-19)"
upnphost,2."D:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;SY)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;PU)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-32-549)(A;;CCLCSWRPLORC;;;AU)(A;;CCDCLCSWLOCRRC;;;S-1-5-19)"
scardsvr,2."D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCLCSWRPWPDTLOCRRC;;;S-1-5-19)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-32-549)(A;;CCLCSWRPLOCRRC;;;S-1-2-0)"
dhcp,2."D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"
dnscache,2."D:(A;;CCLCSWLOCRRC;;;AU)(A;;CCLCSWRPLOCRRC;;;PU)(A;;CCLCSWRPWPDTLOCRRC;;;NO)(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;BA)(A;;CCLCSWRPWPDTLOCRRC;;;SY)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)"
Para o Windows Server 2003, utilize o seguinte modelo de segurança para modificar os serviços DnsCache e DHCP.
Nota Para o Windows XP Service Pack 1 e Windows Server 2003, a alteração das DACLs de serviços no serviço NetBT não é suportada utilizando o Editor de Objectos da Política de Grupos da Microsoft. Por isso, a alteração da DACL no serviço NetBT não está incluída no modelo de segurança para o Windows Server 2003.
Nota Para o Windows Server 2003, os únicos serviços afectados identificados são NetBT, DHCP e DnsCache. No cenário do Windows Server 2003, um ataque tem de ser lançado por um membro do grupo de Operadores de Configuração de Rede. Por predefinição, o campo deste grupo encontra-se vazio e raramente é preenchido.
Impacto da solução alternativa: Para além de atribuir às DACLs de serviços as mesmas definições das do Windows XP Service Pack 2, o modelo de segurança fornecido define o tipo de reinício do serviço para o serviço afectado para a configuração predefinida original de “Automático”. Visto que o Windows Server 2003 suporta a capacidade de configurar as definições de tipo de arranque, o tipo de arranque não é alterado para o Windows Server 2003.
Modifique o registo do Windows para modificar os controlos de acesso para cada um dos serviços identificados.
O método preferido para modificação do serviço é a utilização do comando sc.exe. Contudo, pode utilizar o comando seguinte para modificar as DACLs de segurança dos serviços afectados para o mesmo nível do Windows XP Service Pack 2. Aconselha-se aos utilizadores que façam uma cópia de segurança do registo antes de efectuarem qualquer modificação. Para mais informações sobre scripts de registo e sobre como modificar o registo do Windows, consulte o Artigo 214752 da Base de Dados de Conhecimento da Microsoft.
Para o Windows XP Service Pack 1, modifique as seguintes chaves de registo para alterar os serviços predefinidos afectados no Windows XP Service Pack 1
Para o Windows Server 2003, modifique a seguinte chave de registo para alterar o serviço predefinido afectado do Windows 2003.
Nota Para estes valores de chave de registo foi inserido o caracter “_” e uma mudança de linha para legibilidade. Remova este caracter e esta mudança de linha para executar o comando correctamente.
Impacto da solução alternativa: São atribuídas às DACLs de serviços as mesmas definições das do Windows Server 2003 Service Pack 1 e Windows XP Service Pack 2, e não é necessário reiniciar o computador para executar esta medida de atenuação.
Perguntas mais frequentes sobre DACLs de Serviços Windows Permissivos poderiam permitir elevação de privilégios - CVE-2006-0023
Qual a abrangência desta vulnerabilidade?
Esta é uma vulnerabilidade de elevação de privilégios. Um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter o controlo total de um sistema afectado. Um intruso poderia alterar o binário predefinido associado aos serviços afectados. Depois, o intruso poderia parar e reiniciar os serviços para executar um programa ou binário malicioso. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios.
No Windows XP Service Pack 1, as permissões nos serviços Windows identificados estão predefinidas para um nível que pode permitir a um utilizador com poucos privilégios alterar as propriedades associadas ao serviço. No Windows Server 2003, as permissões nos serviços identificados estão definidas para um nível que pode permitir a um utilizador pertencente ao grupo de Operadores de Configuração de Rede alterar propriedades associadas ao serviço.
Ao alterar o programa predefinido de execução associado por um serviço identificado, um utilizador com poucos privilégios poderá executar comandos ou ficheiros executáveis que normalmente necessitariam de um nível mais elevado de privilégios de acesso.
Para tentar explorar a vulnerabilidade, um intruso tem de ter credenciais de início de sessão válidas para o sistema afectado.
Para explorar esta vulnerabilidade, um intruso teria primeiro de ter credenciais de início de sessão válidas para o sistema afectado. Um intruso poderia ter então acesso ao componente afectado e executar uma aplicação padrão que poderia explorar a vulnerabilidade e obter controlo total sobre o sistema afectado.
Não. O Windows 98, Windows 98 Second Edition e Windows Millennium Edition não contêm os componentes afectados.
O Windows 2000 é afectado por esta vulnerabilidade?
Foram identificados cenários que envolvem membros do grupo de administradores Power User, mas estes utilizadores deveriam ser considerados como utilizadores fidedignos com vastos privilégios e capacidade para alterar definições em todo o computador. Para mais informações sobre direitos associados ao grupo de administradores Power User, consulte o Artigo 825069 da Base de Dados de Conhecimento da Microsoft. O Windows 2000 pode ficar vulnerável se for instalado código de aplicações de terceiros que adicione serviços com controlos de acesso demasiado permissivos.
Como posso determinar se uma aplicação que não é Microsoft está afectada?
Aconselhamos os utilizadores a contactar os respectivos vendedores de software de outras marcas cujos produtos necessitem de instalação de serviços, para determinar se algum dos serviços Windows diferentes das predefinições é afectado.. Aconselhamos os programadores de software a consultar o Artigo 914392 da Base de Dados de Conhecimento da Microsoft para obter informações adicionais e procedimentos recomendados sobre como aplicar controlos de acesso seguro a serviços.
Não. O intruso tem de ter credenciais de início de sessão válidas para o sistema específico que pretende atacar.
A actualização altera as DACLs pré-definidas no Windows XP Service Pack 1 e no Windows Server para as DACLs de segurança melhorada utilizadas no Windows XP Service Pack 2 e Windows Server 2003 Service Pack 1.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2006-0023.
Nota A utilização do parâmetro /quiet irá suprimir todas as mensagens. Isto inclui a supressão de mensagens de falha. Quando utilizam o parâmetro /quiet, os administradores devem usar um dos métodos suportados para verificar se a instalação foi bem sucedida. Os administradores também devem consultar o ficheiro KB914798.log para verificar a existência de quaisquer mensagens de falha quando utilizam este parâmetro.
Esta actualização não pode ser removida. Para saber mais sobre como remover manualmente as alterações efectuadas por esta actualização, consulte o Artigo 914798 da Base de Dados de Conhecimento da Microsoft.
Esta actualização de segurança requer o Microsoft Windows XP Service Pack 1. Para mais informações, consulte o Artigo 322389 da Base de Dados de Conhecimento da Microsoft.
Andres Tarasco da SIA Group por trabalhar connosco na questão DACLs de Serviços Windows Permissivos poderiam permitir Elevação de Privilégios - CVE-2006-0023
V1.0 (14 de Março de 2006): Boletim publicado.
V1.1 17 de Março de 2006: Para o Windows Server 2003, a secção de verificação de ficheiros foi actualizada para reflectir as chaves de registo adequadas para detecção de ficheiros.
V2.0 (13 de Junho de 2006): Esta actualização foi revista para incluir os valores de chave de registo actualizados para os serviços NetBT, RemoteAccess e TCPIP. Estes valores foram modificados para serem iguais aos do Windows XP Service Pack 2 em sistemas Windows XP Service Pack 1 e iguais aos do Windows 2003 Service Pack 1 em sistemas Windows 2003 sem nenhum service pack aplicado. Os clientes são aconselhados a aplicar esta actualização revista para estarem mais seguros contra elevação de privilégios através destes serviços, como descrito na secção Detalhes da Vulnerabilidade deste boletim de segurança.
V2.1 (14 de Junho de 2006): Boletim actualizado para clarificar que os sistemas Windows 2003 sem aplicação de um service pack não são afectados pelo relançamento de 13 de Junho de 2006.

References: Artigo 914798
 Artigo 914798
 artigo 914798
 artigo 914798
 Artigo 914798
 Artigo 914798
 Artigo 914798
 artigo 914798
 Artigo 914798
 Artigo 914798
 Artigo 306460
 Artigo 816585
 Artigo 214752
 Artigo 825069
 Artigo 914392
 Artigo 914798
 Artigo 322389