Source: https://technet.microsoft.com/pt-pt/library/security/ms06-015.aspx
Timestamp: 2018-05-20 17:41:38+00:00

Document:
Microsoft Security Bulletin MS06-015 - Crítica
2006 MS06-015
Vulnerabilidade no Internet Explorer poderia permitir Execução Remota de Código (908531)
Data de publicação: 11 de abril de 2006 | Updated: 25 de abril de 2006
Avisos: O Artigo 918165 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão experimentar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estes problemas. Para mais informações, consulte o Artigo 918165 da Base de Dados de Conhecimento da Microsoft.
Microsoft Windows 2000 Service Pack 4 – Transferir a actualização
Vulnerabilidade na Shell do Windows -CVE-2006-0012 Execução Remota de Código Crítica Crítica Crítica Crítica Crítica Crítica
Por que razão decidiu a Microsoft voltar a publicar este boletim em 25 de Abril de 2006?
A Microsoft concluiu a investigação inicial relativa a questões que envolvem software de outras empresas relatados por clientes após a instalação desta actualização de segurança.
A Microsoft actualizou este boletim hoje, para informar os clientes sobre a disponibilidade de versões revistas da actualização de segurança para todos os produtos listados na secção “Software afectado”.
Nota Os clientes que já aplicaram a actualização MS06-015 e que não estão a ter problemas como indicado no Artigo 918165 da Base de Dados de Conhecimento da Microsoft, não necessitam de executar qualquer acção.
Que alterações inclui a actualização de segurança revista?
A actualização de segurança revista não contém alterações aos binários incluídos na actualização de segurança inicial. Durante a instalação, a actualização de segurança revista colocará as seguintes entradas na lista de permissões como indicado no Artigo 918165 da Base de Dados de Conhecimento da Microsoft.
Controlador gráfico NVIDIA
Como devo fazer a implementação desta actualização revista?
Para os clientes que já aplicaram a actualização e estão a ter problemas relacionados com software Hewlett Packard Share-to-Web de versões mais antigas, ou controladores NVIDIA da versão 61.94 ou anterior, a actualização revista estará disponível através do Windows Update e do Microsoft Update. A re-publicação que está planeada será automaticamente distribuída aos computadores afectados através das Actualizações automáticas, se estas estiverem activas. A re-publicação não será distribuída a computadores não-afectados.
O Microsoft Baseline Security Analyzer (MBSA) 2.0 também determinará se um dos controlos COM de outras empresas já identificados foi instalado e oferecerá a actualização de segurança revista.
Para o Microsoft Baseline Security Analyzer (MBSA) 1.2.1, a lógica de detecção foi actualizada de forma a oferecer um pacote revisto apenas às máquinas que não têm a actualização de segurança instalada. O MBSA 1.2.1 não pode ser usado para determinar se os controlos COM de outras empresas identificadas foram instalados. Para clientes que usam o MBSA 1.2.1 e que estão a ter estes problemas, recomendamos que use uma Política de grupo ou script que adicione manualmente os controlos COM anteriores à lista de permissões como documentado no Artigo 918165 da Base de Dados de Conhecimento da Microsoft.
O Artigo 918165 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão experimentar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estes problemas. Para mais informações, consulte o Artigo 918165 da Base de Dados de Conhecimento da Microsoft.
MS05-016 Não Substituído Substituído Substituído
MS05-008 Substituído Substituído Substituído
Sim. Além das alterações que são apresentadas na secção "Detalhes sobre a Vulnerabilidade" deste boletim, esta actualização inclui as seguintes alterações na funcionalidade de segurança:
Esta actualização de segurança introduz um novo ficheiro, Verclsid.exe. O Verclsid.exe é utilizado para verificar um objecto COM antes que seja instanciado pelo Explorador do Windows.
Esta actualização de segurança inclui medidas de defesa profundas que asseguram que são activados com consistência os avisos de segurança na zona de Internet em cenários de eventos de arrastar e largar.
O Windows 98, Windows 98 Second Edition ou Windows Millennium Edition são gravemente afectados pela vulnerabilidade resolvida neste boletim de segurança?
Nota: Para mais informações sobre a utilização do MBSA 1.2.1 para implementar a actualização revista, consulte a questão anterior “Como deve fazer a implementação desta actualização revista?”.
Nota: Para mais informações sobre a utilização do MBSA 2.0 para implementar a actualização revista, consulte a questão anterior “Como devo fazer a implementação desta actualização revista?”.
Vulnerabilidade na Shell do Windows - CVE-2006-0012:
Existe uma vulnerabilidade de execução remota de código no Explorador do Windows devido à forma como este processa objectos COM. Um intruso teria de convencer um utilizador a visitar um Web site que conseguisse forçar uma ligação a um servidor de ficheiros remoto. Este servidor de ficheiros remoto poderia então provocar a falha do Windows Explorer de uma forma que poderia permitir a execução de código. Um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter o controlo total de um sistema afectado.
Factores atenuantes para a Vulnerabilidade na Shell do Windows - CVE-2006-0012:
No cenário de um ataque baseado na Web, um intruso teria de alojar um Web site contendo uma página Web que fosse utilizada para tirar partido desta vulnerabilidade. Um intruso não conseguiria obrigar os utilizadores a visitarem um Web site mal intencionado. Em vez disso, um intruso teria de persuadi-los a visitar o Web site, levando-os normalmente a clicar numa hiperligação que os levasse ao site do intruso. Depois de clicarem na hiperligação, ser-lhes-ia pedido que executassem várias acções. Um ataque poderia apenas ocorrer depois de executadas estas acções.
A zona de Sites restritos ajuda a reduzir ataques que tentem explorar esta vulnerabilidade, ao impedir a utilização de Scripts Activos e Controlos ActiveX durante a leitura de correio electrónico em HTML. Contudo, se um utilizador clicar numa hiperligação numa mensagem de correio electrónico, poderá continuar vulnerável a esta questão através do cenário de ataque baseado na Web descrito anteriormente.
Por predefinição, o Outlook Express 6, o Outlook 2002 e o Outlook 2003 abrem mensagens de correio electrónico HTML na zona de Sites restritos. Além disso, o Outlook 98 e o Outlook 2000 abrem mensagens de correio electrónico em HTML na zona de Sites restritos, se tiver sido instalada a Actualização de Segurança de Correio Electrónico do Outlook (em inglês). O Outlook Express 5.5 Service Pack 2 abre mensagens de correio electrónico HTML na zona de Sites restritos se o Boletim de Segurança Microsoft MS04-018 tiver sido instalado.
A vulnerabilidade não pode ser automaticamente explorada através de correio electrónico. Para um ataque poder ser bem sucedido, é necessário que um utilizador abra um anexo ou clique numa hiperligação que é enviada numa mensagem de correio electrónico.
Soluções alternativas para a Vulnerabilidade na Shell do Windows - CVE-2006-0012:
A Microsoft testou as seguintes alternativas. Apesar de estas soluções alternativas não corrigirem a vulnerabilidade subjacente, elas ajudam a bloquear vectores de ataque conhecidos. Na secção seguinte identificam-se os casos em que uma solução alternativa reduz a funcionalidade.
Desactivar o serviço Web Client
Desactivar o serviço Web Client irá ajudar a proteger o sistema afectado contra tentativas de explorar esta vulnerabilidade. Para desactivar o serviço Web Client, siga estes passos:
Faça duplo clique em WebClient.
Também pode parar e desactivar o serviço Web Client utilizando o seguinte comando na linha de comandos:
Impacto da solução alternativa: Se o serviço Web Client estiver desactivado, os pedidos WebDAV (Web Distributed Authoring and Versioning) não são transmitidos. Se o serviço Web Client estiver desactivado, quaisquer serviços que dependam explicitamente deste serviço não serão iniciados e será enviada uma mensagem de erro para o registo do sistema. Os utilizadores do Windows Server 2003 não poderão usar a funcionalidade "Abrir como Pasta Web".
Utilize as definições de Políticas de Grupos para desactivar o serviço Web Client em todos os sistemas afectados que não necessitem desta funcionalidade.
Como o serviço Web Client é um vector de ataque possível, desactive o serviço usando as definições de Políticas de Grupo. Pode desactivar o arranque deste serviço a nível local, de site, domínio ou unidade organizacional, utilizando a funcionalidade objecto de Políticas de Grupos nos ambientes de domínio Windows 2000 ou Windows Server 2003.
Nota Poderá ainda consultar o manual Windows Server 2003 Security Guide. Este manual contém informações sobre como desactivar os serviços.
Apesar de o WebDAV usar a porta TCP 80 para recepção de comunicações, as portas TCP 139 e 445 podem ser usadas na recepção, para tentar ligar a um serviço malicioso e tentar explorar esta vulnerabilidade. O bloqueio destas portas na firewall pode ajudar a impedir que os sistemas protegidos por essa firewall sejam atacados por tentativas de explorar esta vulnerabilidade. Recomendamos que bloqueie todas as comunicações de entrada não solicitadas a partir da Internet, para ajudar a impedir ataques que possam utilizar outras portas. Para mais informações sobre as portas, visite o seguinte Web site.
Perguntas mais frequentes sobre a Vulnerabilidade na Shell do Windows - CVE-2006-0012:
O Explorador do Windows poderia permitir que os objectos COM fossem utilizados para executar código arbitrário.
A actualização remove a vulnerabilidade evitando que ficheiros e directórios concebidos para o efeito invoquem código arbitrário sem uma interacção específica do utilizador.
Nota A actualização para esta vulnerabilidade também aborda uma variação revelada publicamente, a que foi atribuído o número de Vulnerabilidade e Exposição Comum CVE-2004-2289.
Nota A utilização do parâmetro /quiet irá suprimir todas as mensagens. Isto inclui a supressão de mensagens de falha. Quando utilizam o parâmetro /quiet, os administradores devem usar um dos métodos suportados para verificar se a instalação foi bem sucedida. Os administradores também devem consultar o ficheiro KB908531.log para verificar a existência de quaisquer mensagens de falha quando utilizam este parâmetro.
Os administradores de sistema podem também utilizar o utilitário Spuninst.exe para remover esta actualização de segurança. O utilitário Spuninst.exe está localizado na pasta %Windir%\$NTUninstallKB908531$\Spuninst.
Shell32.dll 6.0.3790.503 17-Mar-2006 03:59 8,171,520 RTMGDR
Verclsid.exe 5.2.3790.503 17-Mar-2006 00:55 27,648 x86 RTMGDR
Shell32.dll 6.0.3790.503 17-Mar-2006 03:42 8,172,544 x86 RTMQFE
Verclsid.exe 5.2.3790.503 17-Mar-2006 01:11 27,648 x86 RTMQFE
Shell32.dll 6.0.3790.2662 17-Mar-2006 04:03 8.380.928 x86 SP1GDR
Verclsid.exe 5.2.3790.2662 17-Mar-2006 01:44 29.184 x86 SP1GDR
Shell32.dll 6.0.3790.2662 17-Mar-2006 04:26 8.382.464 x86 SP1QFE
Verclsid.exe 5.2.3790.2662 17-Mar-2006 02:18 29.184 x86 SP1QFE
W03a2409.dll 5.2.3790.2662 17-Mar-2006 02:03 24.064 x86 SP1QFE
Shell32.dll 6.0.3790.503 18-Abr-2006 01:33 12.965.376 IA-64 RTMGDR
Verclsid.exe 5.2.3790.503 18-Abr-2006 01:33 67,072 IA-64 RTMGDR
Wshell32.dll 6.0.3790.503 18-Abr-2006 01:33 8,171,520 RTMGDR\WOW
Wverclsid.exe 5.2.3790.503 18-Abr-2006 01:33 27,648 x86 RTMGDR\WOW
Shell32.dll 6.0.3790.503 18-Abr-2006 01:33 12.968.448 IA-64 RTMQFE
Verclsid.exe 5.2.3790.503 18-Abr-2006 01:33 66,048 IA-64 RTMQFE
Wshell32.dll 6.0.3790.503 18-Abr-2006 01:33 8,172,544 x86 RTMQFE\WOW
Wverclsid.exe 5.2.3790.503 18-Abr-2006 01:33 27,648 x86 RTMQFE\WOW
Shell32.dll 6.0.3790.2662 18-Abr-2006 01:36 13.248.512 IA-64 SP1GDR
Verclsid.exe 5.2.3790.2662 18-Abr-2006 01:36 74,752 IA-64 SP1GDR
Wshell32.dll 6.0.3790.2662 18-Abr-2006 01:36 8.380.928 x86 SP1GDR\WOW
Wverclsid.exe 5.2.3790.2662 18-Abr-2006 01:36 29.184 x86 SP1GDR\WOW
Shell32.dll 6.0.3790.2662 18-Abr-2006 01:33 13.252.608 IA-64 SP1QFE
Verclsid.exe 5.2.3790.2662 18-Abr-2006 01:33 74,752 IA-64 SP1QFE
W03a2409.dll 5.2.3790.2662 18-Abr-2006 01:33 23.040 IA-64 SP1QFE
Wshell32.dll 6.0.3790.2662 18-Abr-2006 01:33 8.382.464 x86 SP1QFE\WOW
Wverclsid.exe 5.2.3790.2662 18-Abr-2006 01:33 29.184 x86 SP1QFE\WOW
Ww03a2409.dll 5.2.3790.2662 18-Abr-2006 01:33 24.064 x86 SP1QFE\WOW
Shell32.dll 6.0.3790.2662 18-Abr-2006 01:35 10.496.000 x64 SP1GDR
Verclsid.exe 5.2.3790.2662 18-Abr-2006 01:35 40,448 x64 SP1GDR
Wshell32.dll 6.0.3790.2662 18-Abr-2006 01:35 8.380.928 x86 SP1GDR\WOW
Wverclsid.exe 5.2.3790.2662 18-Abr-2006 01:35 29.184 x86 SP1GDR\WOW
Shell32.dll 6.0.3790.2662 18-Abr-2006 01:32 10.499.584 x64 SP1QFE
Verclsid.exe 5.2.3790.2662 18-Abr-2006 01:32 40,448 x64 SP1QFE
W03a2409.dll 5.2.3790.2662 18-Abr-2006 01:32 24,576 x64 SP1QFE
Wshell32.dll 6.0.3790.2662 18-Abr-2006 01:32 8.382.464 x86 SP1QFE\WOW
Wverclsid.exe 5.2.3790.2662 18-Abr-2006 01:32 29.184 x86 SP1QFE\WOW
Ww03a2409.dll 5.2.3790.2662 18-Abr-2006 01:32 24.064 x86 SP1QFE\WOW
Windows Server 2003, Web Edition; Windows Server 2003, Standard Edition; Windows Server 2003, Datacenter Edition; Windows Server 2003, Enterprise Edition; Windows Small Business Server 2003; Windows Server 2003, Web Edition com SP1; Windows Server 2003, Standard Edition com SP1; Windows Server 2003, Enterprise Edition com SP1; Windows Server 2003, Datacenter Edition com SP1; Windows Server 2003 R2, Web Edition; Windows Server 2003 R2, Standard Edition; Windows Server 2003 R2, Datacenter Edition; Windows Server 2003 R2, Enterprise Edition; Windows Small Business Server 2003 R2; Windows Server 2003, Enterprise Edition para sistemas baseados em Itanium; Windows Server 2003, Datacenter Edition para sistemas baseados em Itanium; Windows Server 2003, Enterprise Edition com SP1 para sistemas baseados em Itanium; Windows Server 2003, Datacenter Edition com SP1 para sistemas baseados em Itanium; Windows Server 2003, Standard x64 Edition; Windows Server 2003, Enterprise x64 Edition; e Windows Server 2003, Datacenter x64 Edition; Windows Server 2003 R2, Standard x64 Edition; Windows Server 2003 R2, Enterprise x64 Edition; e Windows Server 2003 R2, Datacenter x64 Edition:
Nota Esta chave de registo poderá não conter uma lista completa dos ficheiros instalados. Além disso, esta chave de registo poderá não ser criada correctamente se um administrador ou um OEM integrar ou associar a actualização de segurança 908531 aos ficheiros de origem de instalação do Windows.
Fldrclnr.dll 6.0.2800.1579 20-Ago-2004 22:01 82,432 SP1QFE
Shell32.dll 6.0.2800.1816 17-Mar-2006 05:04 8.351.232 SP1QFE
Sxs.dll 5.1.2600.1579 20-Ago-2004 22:01 700,928 SP1QFE
Verclsid.exe 5.1.2600.1816 17-Mar-2006 00:49 25.600 SP1QFE
Comctl32.dll 6.0.2800.1816 17-Mar-2006 05:04 925,184 SP1QFE\ASMS\60\MSFT\WINDOWS\COMMON\CONTROLS
Controls.man 17-Mar-2006 05:18 1,812 SP1QFE\ASMS\60\MSFT\WINDOWS\COMMON\CONTROLS
Comctl.man 17-Mar-2006 05:18 621 SP1QFE\ASMS\60\POLICY\60\COMCTL
Shell32.dll 6.0.2900.2869 17-Mar-2006 04:03 8.452.096 SP2GDR
Verclsid.exe 5.1.2600.2869 17-Mar-2006 00:38 28,672 SP2GDR
Shell32.dll 6.0.2900.2869 17-Mar-2006 04:46 8.454.656 SP2QFE
Verclsid.exe 5.1.2600.2869 17-Mar-2006 01:05 28,672 SP2QFE
Xpsp3res.dll 5.1.2600.2872 22-Mar-2006 01:29 23.040 SP2QFE
Nota Estas chaves de registo poderão não conter uma lista completa dos ficheiros instalados. Além disso, estas chaves de registo poderão não ser criadas correctamente se um administrador ou um OEM integrar ou associar a actualização de segurança 908531 aos ficheiros de origem de instalação do Windows.
Shell32.dll 5.0.3900.7080 23-Mar-2006 20:24 2.361.616
Verclsid.exe 5.0.2195.7080 18-Mar-2006 23:21 21.264
Nota Esta chave de registo poderá não conter uma lista completa dos ficheiros instalados. Além disso, esta chave de registo poderá não ser criada correctamente quando um administrador ou um OEM integrar ou associar a actualização de segurança 908531 aos ficheiros de origem de instalação do Windows.
NISCC por fornecer informações sobre a Vulnerabilidade na Shell do Windows (CVE-2006-0012).
V1.0 (11 de Abril de 2006): Boletim publicado.
V1.1 (15 de Abril de 2006): Boletim revisto A secção “Avisos" foi actualizada, uma vez que foram descobertas novas questões com a actualização de segurança. Os utilizadores podem encontrar algumas questões no Windows Explorer ou na shell do Windows depois de instalarem a actualização. A informação sobre a actualização de segurança foi revista de forma a reflectir a informação correcta da versão do ficheiro para o Microsoft Windows XP e o Microsoft Windows 2000.
V1.2 (20 de Abril de 2006): Boletim revisto Secção de Perguntas mais frequentes actualizada de forma a incluir informações sobre uma actualização anunciada da actualização de segurança.
V2.0 (25 de Abril de 2006): Boletim revisto Este boletim foi publicado novamente para informar os clientes que estão disponíveis versões revistas da actualização de segurança para todos os produtos listados na secção “Software afectado”. Os clientes que já aplicaram a actualização do boletim MS06-015 e que não estão a ter qualquer problema não necessitam de executar qualquer acção. Para mais informações, consulte a questão “Por que razão decidiu a Microsoft voltar a publicar este boletim em 25 de Abril de 2006?” na secção de "Perguntas mais frequentes relativas a esta actualização de segurança".

References: Artigo 918165
 Artigo 918165
 Artigo 918165
 Artigo 918165
 Artigo 918165
 Artigo 918165
 Artigo 918165