Source: https://technet.microsoft.com/pt-pt/library/security/ms09-020.aspx
Timestamp: 2017-12-13 06:05:50+00:00
Document Index: 88877230

Matched Legal Cases: ['Artigo 241520', 'Artigo 325864', 'Artigo 271071', 'Artigo 812614', 'Artigo 241520', 'Artigo 970483']

Microsoft Security Bulletin MS09-020 - Importante
Vulnerabilidades no Internet Information Services (IIS) poderiam permitir Elevação de Privilégios (970483)
Esta actualização de segurança resolve uma vulnerabilidade divulgada publicamente e uma vulnerabilidade comunicada de forma privada no Microsoft Internet Information Services (IIS). As vulnerabilidades poderiam permitir elevação de privilégios se um intruso enviasse um pedido HTTP especialmente concebido para o efeito para um Web site que exigisse autenticação. Estas vulnerabilidades permitem que um intruso ignore a configuração do IIS que especifica que tipo de autenticação é permitido, mas não a verificação da lista de controlo de acesso (ACL) baseada no sistema de ficheiros que verifica se um determinado utilizador tem direitos de acesso a um ficheiro. Uma exploração destas vulnerabilidades com sucesso continuaria a restringir o intruso às permissões concedidas à conta de utilizador anónimo pelas ACLs do sistema de ficheiros.
A actualização de segurança está classificada como Importante para o Microsoft Internet Information Services em todas as edições suportadas do Microsoft Windows 2000, Windows XP e Windows Server 2003. Para mais informações, consulte a subsecção Software Afectado e Software Não Afectado, nesta secção.
A actualização de segurança resolve as vulnerabilidades modificando a forma como a extensão WebDAV para o IIS processa pedidos HTTP. Para mais informações sobre as vulnerabilidades, consulte a subsecção de Perguntas Mais Frequentes quanto à vulnerabilidade específica na secção seguinte, Informações sobre as vulnerabilidades.
Esta actualização de segurança resolve a vulnerabilidade descrita no Aviso de Segurança da Microsoft 971492.
Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3 Microsoft Internet Information Services 5.1 Elevação de Privilégios Importante Nenhum
Windows XP Professional x64 Edition Service Pack 2 Microsoft Internet Information Services 6.0 Elevação de Privilégios Importante Nenhum
Windows Server 2003 Service Pack 2 Microsoft Internet Information Services 6.0 Elevação de Privilégios Importante Nenhum
Windows Server 2003 x64 Edition Service Pack 2 Microsoft Internet Information Services 6.0 Elevação de Privilégios Importante Nenhum
Windows Server 2003 com SP2 para sistemas baseados em Itanium Microsoft Internet Information Services 6.0 Elevação de Privilégios Importante Nenhum
Windows Vista, Windows Vista Service Pack 1 e Windows Vista Service Pack 2 Microsoft Internet Information Services 7.0
Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1 e Windows Vista x64 Edition Service Pack 2 Microsoft Internet Information Services 7.0
Windows Server 2008 para sistemas de 32 bits e Windows Server 2008 para sistemas de 32 bits Service Pack 2 Microsoft Internet Information Services 7.0
Windows Server 2008 para sistemas baseados em x64 e Windows Server 2008 para sistemas baseados em x64 Service Pack 2 Microsoft Internet Information Services 7.0
Windows Server 2008 para sistemas baseados em Itanium e Windows Server 2008 para sistemas baseados em Itanium Service Pack 2 Microsoft Internet Information Services 7.0
Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.0 é Ignorada - CVE-2009-1122
Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.1 e 6.0 é Ignorada - CVE-2009-1535
Microsoft Internet Information Services (IIS) 5.1 no Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3 Não aplicável Importante
Microsoft Internet Information Services (IIS) 6.0 no Windows XP Professional x64 Edition Service Pack 2 Não aplicável Importante
Microsoft Internet Information Services (IIS) 6.0 no Windows Server 2003 Service Pack 2 Não aplicável Importante
Microsoft Internet Information Services (IIS) 6.0 no Windows Server 2003 x64 Edition Service Pack 2 Não aplicável Importante
Microsoft Internet Information Services (IIS) 6.0 no Windows Server 2003 com SP2 para sistemas baseados em Itanium Não aplicável Importante
Existe uma vulnerabilidade de elevação de privilégios na forma como a extensão WebDAV para o IIS processa pedidos HTTP. Um intruso poderia explorar esta vulnerabilidade criando um pedido HTTP anónimo especialmente concebido para o efeito para obter acesso a uma localização que normalmente exige autenticação.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2009-1122.
Factores Atenuantes para a Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.0 é Ignorada - CVE-2009-1122
As versões 5.1, 6.0 e 7.0 do Microsoft Internet Information Services não são afectadas por esta vulnerabilidade.
Por predefinição, é negado o acesso de escrita à conta de utilizador anónimo. De forma a explorar com êxito esta vulnerabilidade com acesso de escrita, a conta de utilizador anónimo necessitaria de ter definidas ACLs de acesso de escrita na estrutura da pasta IIS. No entanto, por predefinição, a conta de utilizador anónimo tem apenas definidas ACLs de acesso de leitura. No IIS 6.0 há uma negação explícita da entrada de controlo de acesso (ACE) para permissões de escrita para a conta predefinida de utilizador anónimo. A não ser que seja substituída pelo administrador, esta ACE de negação será herdada por todas as crianças na raiz predefinida do Web site.
As ACLs do sistema de ficheiros são aplicadas. Esta vulnerabilidade permite que um intruso ignore a configuração do IIS que especifica que tipo de autenticação é permitido, mas não a verificação da ACL baseada no sistema de ficheiros que verifica se um determinado utilizador tem direitos de acesso a um ficheiro. Uma exploração da vulnerabilidade com sucesso continuaria a restringir o intruso às permissões concedidas à conta de utilizador anónimo ao nível da ACL do sistema de ficheiros. Por conseguinte, esta vulnerabilidade não pode ser utilizada para exceder o nível de acesso concedido à conta de utilizador anónimo através das ACLs do sistema de ficheiros. A conta de utilizador anónimo predefinida está configurada como a conta IUSR_<nomedocomputador>.
Soluções Alternativas para a Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.0 é Ignorada - CVE-2009-1122
Desactivar o WebDAV
Se a funcionalidade WebDAV não for necessária no servidor, pode ser desactivada.
Para o IIS 5.0, o WebDAV pode ser desactivado conforme descrito no Artigo 241520 da Base de Dados de Conhecimento da Microsoft.
Impacto da solução alternativa. Depois de aplicar esta solução alternativa, os pedidos WebDAV não serão servidos pelo IIS.
Método alternativo para desactivar o WebDAV no IIS 5.0
A Ferramenta de Bloqueio do IIS, versão 2.1 também pode ser utilizada para desactivar o WebDAV. Consulte o Artigo 325864 da Base de Dados de Conhecimento da Microsoft.
Impacto da solução alternativa. Este método obtém resultados ao instalar o UrlScan. Por predefinição, o UrlScan bloqueia os pedidos ao WebDAV detectando verbos ou cabeçalhos HTTP que seriam mapeados para o WebDAV. Se a Ferramenta de Bloqueio do IIS não estiver instalada, o UrlScan permanece. Para desinstalar o UrlScan, anular o registo do filtro ISAPI do URLScan do snap-in IIS do Gestor de IIS.
Alterar ACLs do sistema de ficheiros para negar o acesso à conta de utilizador anónimo
Se a funcionalidade WebDAV for necessária, devem utilizar-se ACLs de NTFS para controlar o acesso a recursos no servidor. Se os recursos estiverem inacessíveis para o utilizador anónimo através do WebDAV, as ACLs de NTFS de leitura ou de escrita adequadas devem ser aplicadas com base no acesso pretendido ao recurso em causa. Para obter mais informações sobre as ACLs para conteúdo IIS, consulte os artigos seguintes:
Artigo 271071 da Base de Dados de Conhecimento da Microsoft
Artigo 812614 da Base de Dados de Conhecimento da Microsoft
Impacto da solução alternativa. A aplicação desta solução alternativa pode ter efeitos adversos em produtos que exijam o acesso a conteúdos pela conta IUSR_<nome do computador>. Os exemplos destes produtos incluem o System Center Configuration Manager 2007.
Perguntas Mais Frequentes sobre a Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.0 é Ignorada - CVE-2009-1122
Esta é uma vulnerabilidade de elevação de privilégios que poderia permitir que um intruso ignorasse um requisito de autenticação para aceder ao conteúdo num servidor IIS.
A extensão WebDAV não descodifica adequadamente um URL pedido e especialmente concebido para o efeito. Isto faz com que o WebDAV aplique uma configuração incorrecta ao processar o pedido. Se a configuração aplicada permitir acesso anónimo, um pedido especialmente concebido para o efeito pode ignorar a autenticação. Além disso, uma vez que o WebDAV aplica uma configuração incorrecta, outras definições na configuração do IIS que devem ser aplicadas a um caminho em particular, tal como restrições de endereços de IP, podem não ser processadas pelo WebDAV.
Note que o IIS continuaria a processar esse pedido no contexto de segurança da conta de utilizador anónimo configurada. Por conseguinte, esta vulnerabilidade não pode ser utilizada para ignorar as ACLs de NTFS. As restrições impostas à conta de utilizador anónimo pelas ACLs do sistema de ficheiros continuarão a ser aplicadas.
O que é a conta de utilizador anónimo?
Quando os Web sites e as aplicações executados no servidor Web exigem acesso anónimo, o IIS tem de ser configurado com uma conta de utilizador especificamente para acesso anónimo. Esta conta será então utilizada para aceder a conteúdo no sistema de ficheiros, sempre que solicitado pelo utilizador anónimo da Web. Numa configuração predefinida, o IIS utiliza a conta de utilizador anónimo IUSR_<nomedocomputador>, cujo <nomedocomputador> corresponde ao nome do computador onde o IIS é executado. No entanto, é possível alterar a identidade do utilizador anónimo para utilizar um conta de utilizador local diferente ou uma conta de utilizador de domínio como a conta de utilizador anónimo.
Uma lista de controlo de acesso (ACL) é uma lista de protecções de segurança que se aplica a um objecto. (O objecto pode ser um ficheiro, um processo, um evento, ou qualquer coisa que possua um descritor de segurança.) Uma entrada numa ACL é uma entrada de controlo de acesso (ACE). Há dois tipos de listas de controlo de acesso: discricionário e de sistema. Cada ACE numa ACL identifica os direitos de acesso permitidos, recusados ou revistos para aquela entidade fidedigna. Para informações, consulte o artigo MSDN sobre Listas de Controlo de Acesso.
Um intruso que explorasse esta vulnerabilidade com sucesso poderia ignorar a configuração do IIS que especifica que tipo de autenticação é permitido, mas não a verificação da ACL baseada no sistema de ficheiros que verifica se um determinado utilizador tem direitos de acesso a um ficheiro. Uma exploração da vulnerabilidade com sucesso iria restringir o intruso às permissões concedidas à conta de utilizador anónimo ao nível da ACL do sistema de ficheiros. Tal poderia permitir que um intruso acedesse de forma anónima a informações que apenas deveriam estar acessíveis a um utilizador autenticado, ou guardasse ficheiros em localizações em que à conta de utilizador anónimo é concedida permissão de escrita.
Um intruso poderia explorar esta vulnerabilidade criando um pedido HTTP especialmente concebido para o efeito para um Web site que exija autenticação, obtendo, desta forma, acesso não autorizado a recursos protegidos.
Os sistemas Microsoft Windows 2000 em que é utilizada a versão 5.0 do IIS e em que o WebDAV esteja activado estão mais susceptíveis. Normalmente trata-se de servidores da Web ou servidores de aplicações, mas podem também ser sistemas de programadores ou criadores de páginas Web ou outros sistemas de estações de trabalho em que o IIS é utilizado com o WebDAV. Os sistemas que se afastem da configuração predefinida e em que à conta de utilizador anónimo tenha sido concedida permissão de escrita estão mais susceptíveis.
A actualização resolve a vulnerabilidade modificando a forma como a extensão WebDAV para o IIS processa pedidos HTTP.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2009-1535.
Factores Atenuantes para a Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.1 e 6.0 é Ignorada - CVE-2009-1535
As versões 5.0 e 7.0 do Microsoft Internet Information Services não são afectadas por esta vulnerabilidade.
O WebDAV não está activado por predefinição no IIS 6.0. O WebDAV não está activado na configuração predefinida do IIS 6.0 executado em sistemas Windows Server 2003. A vulnerabilidade não é exposta, a não ser que o WebDAV tenha sido activado por um administrador nestes sistemas.
Por predefinição, é negado o acesso de escrita à conta de utilizador anónimo. De forma a explorar com êxito esta vulnerabilidade com acesso de escrita, a conta de utilizador anónimo necessitaria de ter definidas ACLs de acesso de escrita na estrutura da pasta IIS. No entanto, por predefinição, a conta de utilizador anónimo tem apenas definidas ACLs de acesso de leitura. No IIS 6.0, existe uma ACE de negação explícita para a conta de utilizador anónimo predefinida. A não ser que seja substituída pelo administrador, esta ACE de negação será herdada por todas as crianças na raiz predefinida do Web site.
Soluções Alternativas para a Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.1 e 6.0 é Ignorada - CVE-2009-1535
Para o IIS 5.0 e IIS 5.1, o WebDAV pode ser desactivado conforme descrito no Artigo 241520 da Base de Dados de Conhecimento da Microsoft.
Para o IIS 6.0, o WebDAV pode ser desactivado seguindo os seguintes passos:
Inicie o snap-in MMC do Gestor de IIS.
No painel da esquerda, expanda o ícone do computador local.
Clique em Extensões do Serviço Web por baixo deste item.
No painel da direita, seleccione WebDAV e clique no botão Proibir.
Alternar método para desactivar o WebDAV no IIS 5.1 e IIS 6.0
O Microsoft UrlScan Filter v3.1 também pode ser utilizado para desactivar o WebDAV.
Para o IIS 5.1 e IIS 6.0, transferir o Microsoft UrlScan Filter v3.1 a partir de um dos seguintes endereços:
Para sistemas de 32 bits: Microsoft Urlscan Filter v3.1 (x86)
Para sistemas baseados em x64: Microsoft Urlscan Filter v3.1 (x64)
Impacto da solução alternativa. Este método obtém resultados ao instalar o UrlScan. Por predefinição, o UrlScan bloqueia os pedidos ao WebDAV detectando verbos ou cabeçalhos HTTP que seriam mapeados para o WebDAV.
Alterar ACLs do sistema de ficheiros para negar acesso à conta de utilizador anónimo
Perguntas Mais Frequentes sobre a Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.1 e 6.0 é Ignorada - CVE-2009-1535
Os sistemas Windows XP e Windows Server 2003 em que seja utilizada a versão 5.1 ou 6.0 do IIS e em que o WebDAV esteja activado estão mais susceptíveis. Normalmente estes sistemas são servidores da Web ou servidores de aplicações, mas podem também ser sistemas de programadores ou criadores de páginas Web ou outros sistemas de estações de trabalho em que o IIS é utilizado com o WebDAV. Os sistemas que se afastem da configuração predefinida e em que à conta de utilizador anónimo tenha sido concedida permissão de escrita estão mais susceptíveis.
Sim. Esta vulnerabilidade foi divulgada publicamente. Esta vulnerabilidade foi primeiro descrita no Aviso de Segurança da Microsoft 971492 com o número de Vulnerabilidade e Exposição Comum CVE-2009-1535. A esta vulnerabilidade também foi atribuído o número de Vulnerabilidade e Exposição Comum CVE-2009-1676.
Instalação sem intervenção do utilizador Windows2000-KB970483-x86-ENU /quiet
Instalação sem reiniciar Windows2000-KB970483-x86-ENU /norestart
Ficheiro log da actualização kb970483.log
Informações de Remoção Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB970483$\Spuninst
Informações de Ficheiros Consulte o Artigo 970483 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP5\KB970483\Filelist
Instalação sem intervenção do utilizador Para Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3:
Instalação sem reiniciar Para Windows XP Professional Service Pack 2 e Windows XP Professional Service Pack 3:
Verificação da Chave de Registo HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB970483\Filelist
Yamata Li, da Palo Alto Networks, por fornecer informações sobre a Vulnerabilidade em que a Autenticação do WebDAV no IIS 5.0 é Ignorada (CVE-2009-1122)
V1.1 (17 de Junho de 2009): Expansão da secção "O que provoca a vulnerabilidade?". Entradas de Perguntas Mais Frequentes relativas a CVE-2009-1122 e CVE-2009-1535. Trata-se apenas de uma alteração informativa.