Source: https://technet.microsoft.com/pt-pt/library/security/ms08-039.aspx
Timestamp: 2017-10-21 19:49:09+00:00

Document:
Microsoft Security Bulletin MS08-039 - Importante
Vulnerabilidades no Outlook Web Access para o Exchange Server poderiam permitir Elevação de Privilégios (953747)
Data de publicação: 8 de julho de 2008 | Updated: 16 de julho de 2008
Esta actualização de segurança resolve duas vulnerabilidades, comunicadas de forma privada, no Outlook Web Access (OWA) para o Microsoft Exchange Server. Um intruso que explorasse estas vulnerabilidades com êxito poderia obter acesso aos dados de sessão de um cliente OWA individual, permitindo elevação de privilégios. Um intruso poderia então executar qualquer acção permitida ao utilizador na sessão de OWA do cliente individual.
Esta actualização de segurança está classificada como Importante para todas as edições suportadas do Microsoft Exchange Server 2003 e Microsoft Exchange Server 2007. Para mais informações, consulte a subsecção Software Afectado e Software Não Afectado, nesta secção.
A actualização de segurança resolve as vulnerabilidades modificando a validação de dados da sessão HTTP no OWA. Para mais informações sobre as vulnerabilidades, consulte a subsecção de Perguntas Mais Frequentes quanto à vulnerabilidade específica na secção seguinte, Informações sobre as vulnerabilidades.
Questões conhecidas. O Artigo 953747 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando instalam esta actualização de segurança.
Microsoft Exchange Server 2003 Service Pack 2 Elevação de Privilégios Importante Nenhum (Consulte as Perguntas Mais Frequentes sobre a Actualização para obter mais detalhes)
Microsoft Exchange Server 2007 Elevação de Privilégios Importante MS07-026
Microsoft Exchange Server 2007 Service Pack 1 Elevação de Privilégios Importante Nenhum (Consulte as Perguntas Mais Frequentes sobre a Actualização para obter mais detalhes)
Os pormenores sobre as informações do ficheiro podem ser encontrados no Artigo 953747 da Base de Dados de Conhecimento da Microsoft.
O Artigo 953747 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes poderão verificar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estas questões.
O que é o Outlook Web Access (OWA)?
O Microsoft Outlook Web Access (OWA) é um serviço do Exchange Server. Usando o OWA, um servidor que esteja a executar o Exchange Server também pode permitir que utilizadores autorizados leiam e enviem mensagens de correio, façam a gestão do respectivo calendário e executem outras funções de correio a partir de um browser na Internet. Para mais informações, consulte a Descrição Geral do Outlook Web Access.
A lista de ficheiros apresentada no artigo KB953747 é muito extensa para o Exchange 2007. Todos estes ficheiros estão incluídos nesta actualização e serão instalados no sistema?
Sim, os ficheiros indicados no Artigo 953747 da Base de Dados de Conhecimento da Microsoft também estão incluídos na actualização para as várias versões do Exchange 2007 e serão instalados com a actualização. Como descrito abaixo, o modelo de prestação de serviços do Exchange 2007 é cumulativo, para que cada actualização contenha todas as correcções lançadas anteriormente e os ficheiros de todos os conjuntos de actualizações anteriores.
Qual é a diferença entre os modelos de prestação de serviços do Microsoft Exchange Server 2007 e do Microsoft Exchange Server 2003 e como é que a diferença afecta as actualizações neste boletim de segurança?
Com o lançamento do Microsoft Exchange 2007, o Microsoft Exchange passou a utilizar um novo modelo de prestação de serviços baseado nos comentários dos clientes e na consistência com outros modelos de prestação de serviço de produtos Microsoft. As actualizações do Exchange 2007 são cumulativas tanto ao nível da actualização oferecida como ao nível dos ficheiros individuais, enquanto que as actualizações do Exchange Server 2003 são cumulativas unicamente ao nível dos ficheiros.
Para uma explicação mais detalhada sobre o modelo de prestação de serviços do Microsoft Exchange, consulte a documentação de produto do Microsoft Exchange Server 2007. Para questões relacionadas com o novo modelo de prestação de serviços do Exchange, contacte o Suporte Técnico da Microsoft.
Esta actualização contém mais algumas alterações relacionadas com segurança?
Sim. Para além das alterações descritas na secção de Detalhes sobre a Vulnerabilidade deste boletim, esta actualização inclui outras alterações de segurança. Para conhecer uma lista completa de ficheiros e alterações adicionais incluídas nesta actualização, consulte o Artigo 953747 da Base de Dados de Conhecimento da Microsoft.
Esta actualização contém algumas alterações não relacionadas com segurança?
Sim. Para além das alterações descritas na secção de Detalhes sobre a Vulnerabilidade deste boletim, esta actualização inclui alterações não relacionadas com segurança devido à natureza cumulativa do modelo de prestação de serviços do Exchange. Para conhecer uma lista completa de ficheiros e alterações adicionais não relacionadas com segurança incluídas nesta actualização, consulte o Artigo 953747 da Base de Dados de Conhecimento da Microsoft.
Tal como em todas as actualizações, a Microsoft aconselha os clientes a efectuar testes em aplicações empresariais essenciais e em infra-estruturas que possam ser afectadas por esta actualização, antes da implementação.
Vulnerabilidade de Execução de Scripts entre Sites na Validação de Dados do Outlook Web Access para Exchange Server - CVE-2008-2247
Vulnerabilidade de Execução de Scripts entre Sites em Análises no Outlook Web Access para Exchange Server - CVE-2008-2248
Microsoft Exchange Server 2007 Não aplicável Importante
Microsoft Exchange Server 2007 Service Pack 1 Não aplicável Importante
Esta é uma vulnerabilidade de execução de scripts entre sites nas versões afectadas do Outlook Web Access (OWA) para Exchange Server. A exploração desta vulnerabilidade poderia conduzir à elevação de privilégios em clientes OWA individuais que estabeleçam ligação ao Outlook Web Access para Exchange Server. Para explorar a vulnerabilidade, um intruso teria de convencer um utilizador a abrir uma mensagem de correio electrónico especialmente concebida para o efeito, que executasse scripts maliciosos num cliente OWA individual. Se o script malicioso fosse executado, seria executado no contexto de segurança da sessão OWA do utilizador e poderia efectuar qualquer acção permitida ao utilizador, como ler, enviar e eliminar mensagens de correio electrónico, em nome do utilizador com sessão iniciada.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte o boletim CVE-2008-2247.
Factores Atenuantes para a Vulnerabilidade de Execução de Scripts entre Sites na Validação de Dados do Outlook Web Access para Exchange Server - CVE-2008-2247
O OWA Premium não é afectado por esta vulnerabilidade. O OWA Premium é a interface OWA que fornece funcionalidades adicionais no OWA, como a janela de pré-visualização, a verificação ortográfica, a lista de pastas e a caixa de entrada de correio abertas ao mesmo tempo e outras funcionalidades adicionais, como a utilização de regras. Para informações adicionais sobre o Outlook Web Access Light e o Outlook Web Access Premium e as diferentes funcionalidades existentes nas duas versões, consulte Funcionalidades de Cliente no Outlook Web Access.
Nota O OWA Premium só está acessível quando se acede ao OWA com o Internet Explorer no Microsoft Windows. Para mais informações sobre que versões do Internet Explorer suportam o OWA Premium, consulte a Formação para Trabalhadores da Informação sobre o Outlook Web Access.
Soluções Alternativas para a Vulnerabilidade de Execução de Scripts entre Sites na Validação de Dados do Outlook Web Access para Exchange Server - CVE-2008-2247
Perguntas Mais Frequentes sobre a Vulnerabilidade de Execução de Scripts entre Sites na Validação de Dados do Outlook Web Access para Exchange Server - CVE-2008-2247
Esta é uma vulnerabilidade de execução de scripts entre sites no Outlook Web Access (OWA) para Exchange Server. A exploração da vulnerabilidade poderia permitir que um intruso obtivesse acesso a dados de sessão do OWA de um cliente individual, permitindo elevação de privilégios. Um intruso poderia então executar qualquer acção permitida ao utilizador no OWA, como leitura, envio e eliminação de mensagens de correio electrónico, em nome do utilizador com sessão iniciada.
A vulnerabilidade é provocada por uma validação insuficiente efectuada pelo Outlook Web Access para Exchange Server em campos de correio electrónico aquando da abertura de correio a partir de uma sessão OWA de um cliente individual.
A execução de scripts entre sites (XSS) é uma vulnerabilidade de segurança que poderia permitir que um intruso "injectasse" códigos numa sessão de um utilizador com um Web site. Ao contrário da maior parte das vulnerabilidades de segurança, a XSS não se aplica ao produto de um fornecedor em particular; em vez disso, pode afectar qualquer software que crie HTML e que não siga práticas de programação defensivas.
As páginas Web contêm texto e marcadores HTML. O texto e os marcadores HTML são gerados pelo servidor e são interpretados pelo cliente. Os servidores que geram páginas estáticas possuem um controlo total sob a forma como o cliente interpreta as páginas que o servidor envia. No entanto, os servidores que geram páginas dinâmicas não possuem controlo sobre a forma como o cliente interpreta os conteúdos gerados pelos servidores. Se for introduzido conteúdo não fidedigno numa página dinâmica, nem o servidor nem o cliente possuem informações suficientes para reconhecer que esta acção teve lugar e para tomar medidas de protecção.
Um intruso poderia tentar explorar esta vulnerabilidade convencendo um utilizador a abrir uma mensagem de correio electrónico especialmente concebida para o efeito através de uma sessão do OWA de um cliente individual. A mensagem poderia então fazer com que fosse executado script malicioso no sistema do cliente individual no contexto da sessão do OWA do utilizador.
Um intruso poderia usar esta vulnerabilidade no Outlook Web Access para Exchange Server para executar script malicioso no sistema de um utilizador individual no contexto da sessão do OWA do utilizador. O intruso poderia então executar acções do OWA em nome do utilizador com sessão iniciada, tais como leitura, envio ou eliminação de mensagens de correio electrónico, em nome do utilizador com sessão iniciada.
Os sistemas que têm o Outlook Web Access (OWA) para Exchange Server instalado estão susceptíveis a este ataque. Contudo, os clientes OWA individuais com ligação ao Outlook Web Access para Exchange Server estão mais susceptíveis a uma elevação de privilégios.
Esta actualização resolve a vulnerabilidade validando suficientemente os campos de correio electrónico ao abrir mensagens a partir do OWA.
Vulnerabilidade de Execução de Scripts entre Sites em Análises de HTML no Outlook Web Access para Exchange Server - CVE-2008-2248
Esta é uma vulnerabilidade de execução de scripts entre sites nas versões afectadas do Outlook Web Access (OWA) para Exchange Server. A exploração desta vulnerabilidade poderia conduzir à elevação de privilégios em clientes OWA individuais que estabeleçam ligação ao Outlook Web Access para Exchange Server. Para explorar a vulnerabilidade, um intruso teria de convencer um utilizador a abrir uma mensagem de correio electrónico especialmente concebida para o efeito, que executasse scripts maliciosos num cliente OWA individual. O script seria executado no contexto de segurança da sessão do OWA do utilizador e poderia efectuar qualquer acção permitida ao utilizador, como ler, enviar e eliminar mensagens de correio electrónico, em nome do utilizador com sessão iniciada.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte o boletim CVE-2008-2248.
Factores Atenuantes para a Vulnerabilidade de Execução de Scripts entre Sites em Análises de HTML no Outlook Web Access para Exchange Server - CVE-2008-2248
Soluções Alternativas para a Vulnerabilidade de Execução de Scripts entre Sites em Análises de HTML no Outlook Web Access para Exchange Server - CVE-2008-2248
Perguntas Mais Frequentes sobre a Vulnerabilidade de Execução de Scripts entre Sites em Análises de HTML no Outlook Web Access para Exchange Server - CVE-2008-2248
Esta é uma vulnerabilidade de execução de scripts entre sites no Outlook Web Access (OWA) para Exchange Server. A exploração da vulnerabilidade poderia permitir que um intruso obtivesse acesso a dados de sessão do OWA de um cliente individual e efectuasse uma elevação de privilégios. Um intruso poderia então executar qualquer acção permitida ao utilizador no OWA, como leitura, envio e eliminação de mensagens de correio electrónico, em nome do utilizador com sessão iniciada.
A vulnerabilidade é provocada por uma validação insuficiente de HTML efectuada pelo Outlook Web Access (OWA) para Exchange Server quando é processado correio electrónico a partir de uma sessão do OWA de um cliente individual.
Um intruso poderia tentar explorar esta vulnerabilidade convencendo um utilizador a abrir uma mensagem de correio electrónico especialmente concebida para o efeito através de uma sessão do OWA de um utilizador. A mensagem poderia então fazer com que fosse executado script malicioso no sistema do cliente individual no contexto da sessão do OWA do utilizador.
Um intruso poderia usar esta vulnerabilidade no Outlook Web Access para Exchange Server para executar código remoto num sistema de um cliente individual no contexto da sessão do OWA do utilizador e executar acções do OWA em nome do utilizador, tais como leitura, envio ou eliminação de mensagens de correio electrónico, em nome do utilizador com sessão iniciada.
Os sistemas que têm o Outlook Web Access (OWA) para Exchange Server instalado estão susceptíveis a este ataque. Contudo, os clientes OWA individuais com ligação ao Outlook Web Access (OWA) para Exchange Server estão mais susceptíveis a uma elevação de privilégios.
Esta actualização resolve a vulnerabilidade modificando a forma como o Outlook Web Access para Exchange Server valida HTML ao processar mensagens de correio electrónico numa sessão de cliente do OWA individual.
Microsoft Exchange Server 2007 Sim
Microsoft Exchange Server 2007 Service Pack 1 Sim
Microsoft Exchange Server 2007 Não Não Sim Sim
Microsoft Exchange Server 2007 Service Pack 1 Não Não Sim Sim
Microsoft Exchange Server 2003 (todas as edições)
Instalação sem intervenção do utilizador Microsoft Exchange Server 2003 Service Pack 2:
Instalação sem reiniciar Microsoft Exchange Server 2003 Service Pack 2:
Ficheiro log da actualização kb950159.log
Reinício necessário? Não, esta actualização não requer um reinício. O programa de instalação pára os serviços necessários, aplica a actualização e, em seguida, reinicia os serviços. Contudo, se não for possível interromper os serviços necessários por qualquer motivo, ou se os ficheiros necessários estiverem a ser utilizados, esta actualização vai requerer o reinício do computador. Se for esse o caso, será apresentada uma mensagem aconselhando-o a reiniciar. Para ajudar a reduzir a hipótese de ser necessário reiniciar o computador, interrompa todos os serviços afectados e feche todas as aplicações que possam usar os ficheiros afectados antes de instalar a actualização de segurança. Para mais informações sobre por que razão pode ser solicitada a sua confirmação para o reinício do seu computador, consulte o Artigo 887012 da Base de Dados de Conhecimento da Microsoft.
Informações de Remoção Microsoft Exchange Server 2003 Service Pack 2:
Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB950159$\Spuninst
Informações de Ficheiros Consulte o Artigo 953747 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo Microsoft Exchange Server 2003 Service Pack 2:
Microsoft Exchange Server 2007 (todas as edições)
Instalação sem intervenção do utilizador Microsoft Exchange Server 2007:
Instalação sem reiniciar Microsoft Exchange Server 2007:
Ficheiro log da actualização Para o Microsoft Exchange Server 2007:
Para o Microsoft Exchange Server 2007 Service Pack 1:
Verificação da Chave de Registo Para o Microsoft Exchange Server 2007:
Michael Jordan, da Context Information Security, por fornecer informações sobre a Vulnerabilidade de Execução de Scripts entre Sites na Validação de Dados no OWA (CVE-2008-2247) e sobre a Vulnerabilidade de Execução de Scripts entre Sites em Análises de HTML no OWA (CVE-2008-2248)
V1.1 (9 de Julho de 2008): Alteração da ligação de referência de informação para o OWA Premium nas secções de Factores Atenuantes para ambas as vulnerabilidades.
V1.2 (16 de Julho de 2008): Microsoft Exchange Server 2000 Service Pack 3 adicionado como software não afectado. Também são fornecidas ligações para informações adicionais sobre o Outlook Web Access Light e o Outlook Web Access Premium nas secções de Factores Atenuantes. Por último, o software aplicável foi actualizado no cabeçalho "Windows Server Update Services", na secção Orientações e Ferramentas de Detecção e Implementação.

References: Artigo 953747
 Artigo 953747
 Artigo 953747
 Artigo 953747
 Artigo 953747
 Artigo 953747
 Artigo 887012
 Artigo 953747