Source: https://technet.microsoft.com/pt-pt/library/security/ms08-068.aspx
Timestamp: 2017-08-20 06:55:44+00:00
Document Index: 85940028

Matched Legal Cases: ['Artigo 957097', 'Artigo 896861', 'Artigo 887993', 'Artigo 926642', 'Artigo 957097', 'Artigo 957097', 'Artigo 887429', 'Artigo 887429', 'Artigo 957097', 'Artigo 957097']

Microsoft Security Bulletin MS08-068 - Importante
Vulnerabilidade no SMB poderia permitir Execução Remota de Código (957097)
Data de publicação: 11 de novembro de 2008 | Updated: 10 de dezembro de 2008
Esta actualização de segurança resolve uma vulnerabilidade divulgada publicamente sobre o protocolo SMB (Bloco de Mensagem de Servidor) da Microsoft. A vulnerabilidade poderia permitir a execução remota de código nos sistemas afectados. Um intruso que explorasse esta vulnerabilidade com sucesso poderia instalar programas, ver, alterar ou eliminar dados, ou ainda criar novas contas com todos os privilégios. Os utilizadores cujas contas estão configuradas com menos direitos de utilização no sistema podem correr menos riscos do que os utilizadores que trabalham com direitos de utilização de administrador.
Esta actualização de segurança está classificada como Importante para todas as edições suportadas do Microsoft Windows 2000, Windows XP e Windows Server 2003 e classificada como Moderada para todas as edições suportadas do Windows Vista e Windows Server 2008. Para mais informações, consulte a subsecção Software Afectado e Software Não Afectado, nesta secção.
A actualização de segurança resolve a vulnerabilidade modificando a forma como as respostas de autenticação SMB são validadas, evitando a repetição de credenciais. Para mais informações sobre a vulnerabilidade, consulte a subsecção de Perguntas Mais Frequentes (FAQ) quanto à vulnerabilidade específica na secção seguinte, Informações sobre as vulnerabilidades.
Questões conhecidas. O Artigo 957097 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estas questões.
Microsoft Windows 2000 Service Pack 4 Execução Remota de Código Importante MS06-030
Windows XP Service Pack 2 Execução Remota de Código Importante MS05-011
Windows Vista e Windows Vista Service Pack 1 Execução Remota de Código Moderada Nenhum
Windows Vista x64 Edition e Windows Vista x64 Edition Service Pack 1 Execução Remota de Código Moderada Nenhum
Windows Server 2008 para sistemas de 32 bits* Execução Remota de Código Moderada Nenhum
Windows Server 2008 para sistemas baseados em x64* Execução Remota de Código Moderada Nenhum
Windows Server 2008 para sistemas baseados em Itanium Execução Remota de Código Moderada Nenhum
Quais são as questões conhecidas que os clientes poderão verificar quando instalam esta actualização de segurança ?
Depois de instalar esta actualização, as aplicações como o SQL ou o IIS podem funcionar incorrectamente ao fazer a autenticação de pedidos NTLM locais, devido à forma como o NTLM considera diferentes convenções de nomenclatura como entidades remotas em vez de entidades locais. O NTLM é um protocolo de autenticação baseado num mecanismo de pergunta/resposta utilizado para determinar a autenticidade das credenciais fornecidas. Um falha de autenticação local poderá ocorrer quando o cliente calcula e coloca em cache a resposta correcta à pergunta do NTLM (enviada pelo servidor) na memória 'lsass' local antes de enviar a resposta ao servidor. Quando o código do servidor para o NTLM encontra a resposta recebida na cache 'lsass' local, nega o pedido de autenticação, considerando-o um ataque repetido. Isto origina uma falha de autenticação local. É necessário desactivar a protecção de reflexão para que estes sistemas façam a autenticação correctamente. Para informações adicionais sobre questões relativas à autenticação e convenções de nomenclatura, consulte o Artigo 896861 da Base de Dados de Conhecimento da Microsoft, o Artigo 887993 da Base de Dados de Conhecimento da Microsoft e o Artigo 926642 da Base de Dados de Conhecimento da Microsoft. Para informações adicionais sobre questões relativas à instalação, incluindo os passos detalhados para desactivar a protecção de reflexão, consulte o Artigo 957097 da Base de Dados de Conhecimento da Microsoft.
Os pormenores sobre as informações do ficheiro podem ser encontrados no Artigo 957097 da Base de Dados de Conhecimento da Microsoft.
Vulnerabilidade de Reflexão de Credenciais SMB - CVE-2008-4037
Windows Vista e Windows Vista Service Pack 1 Moderada
Windows Server 2008 para sistemas de 32 bits* Moderada
Windows Server 2008 para sistemas baseados em x64* Moderada
Windows Server 2008 para sistemas baseados em Itanium Moderada
Existe uma vulnerabilidade de execução remota de código na forma como o protocolo SMB (Bloco de Mensagem de Servidor) da Microsoft processa credenciais NTLM quando um utilizador se liga a um servidor SMB de um intruso. Esta vulnerabilidade permite a um intruso reproduzir as credenciais, devolvendo-as ao utilizador, executando assim código no contexto de utilizador com sessão iniciada. Se um utilizador tiver sessão iniciada com privilégios administrativos, um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter controlo total sobre um sistema afectado. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios. Os utilizadores cujas contas estão configuradas com menos direitos de utilização no sistema podem correr menos riscos do que os utilizadores que trabalham com direitos de utilização de administrador.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte o boletim CVE-2008-4037.
Factores Atenuantes para a Vulnerabilidade de Reflexão de Credenciais SMB - CVE-2008-4037
Os procedimentos recomendados de firewall e as configurações de firewall padrão predefinidas podem ajudar a proteger as redes de ataques provenientes do exterior do perímetro da empresa. É recomendado que os sistemas ligados à Internet tenham um número mínimo de portas exposto. Neste caso, deve ser bloqueado o acesso da porta do SMB à Internet.
Por predefinição, a partilha de ficheiros encontra-se desactivada em todas as edições suportadas do Windows Vista e Windows Server 2008, o que reduz a exposição destas plataformas a esta vulnerabilidade. Esta configuração predefinida, que constitui uma alteração em relação às plataformas anteriores, resulta numa área de ataque reduzida para o Windows Vista e Windows Server 2008 e altera a classificação de gravidade para Moderada relativamente a estas plataformas e a esta vulnerabilidade.
Soluções Alternativas para a Vulnerabilidade de Reflexão de Credenciais SMB - CVE-2008-4037
Activar assinatura SMB
A activação da assinatura SMB impede a execução de código por parte de um intruso no contexto do utilizador com sessão iniciada. A Microsoft recomenda a utilização de Políticas de Grupos para configurar a assinatura SMB. Para obter instruções detalhadas sobre a utilização de Políticas de Grupos para activar e desactivar a assinatura SMB para o Microsoft Windows 2000, Windows XP e Windows Server 2003, consulte o Artigo 887429 da Base de Dados de Conhecimento da Microsoft. As instruções no Artigo 887429 da Base de Dados de Conhecimento da Microsoft para o Windows XP e Windows Server 2003 também se aplicam ao Windows Vista e Windows Server 2008.
Impacto da solução alternativa. A utilização da assinatura de pacotes SMB pode diminuir o desempenho das transacções de serviços de ficheiros. Os computadores que tenham esta política definida não irão comunicar com computadores que não tenham a assinatura de pacotes do lado do cliente activada. Para obter mais informações sobre a assinatura SMB e potenciais impactos, consulte Microsoft network server: Digitally sign communications (always).
Perguntas Mais Frequentes sobre a Vulnerabilidade de Reflexão de Credenciais SMB - CVE-2008-4037
O protocolo SMB não dá a permissão correcta às protecções de reflexão de credenciais NTLM para garantir que as credenciais do utilizador não são reflectidas e usadas contra o utilizador.
O NTLM é um protocolo de autenticação baseado num mecanismo de pergunta/resposta utilizado para determinar a autenticidade das credenciais fornecidas.
Esta vulnerabilidade requer que um utilizador com uma versão afectada do SMB aceda a um servidor malicioso. O intruso teria que ter alojado uma área de partilha de servidor ou um Web site especialmente concebido para o efeito. Um intruso não conseguiria obrigar os utilizadores a visitarem uma área de partilha de servidor ou um Web site especialmente concebido para o efeito. Em vez disso, um intruso teria de convencê-los a visitar a área de partilha de servidor ou o Web site, levando-os normalmente a clicar numa hiperligação presente numa mensagem de correio electrónico ou num programa de mensagens instantâneas que os levasse para o site do intruso.
A actualização de segurança resolve a vulnerabilidade modificando a forma como as respostas de autenticação SMB são validadas, evitando a repetição de credenciais.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2008-4037.
Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB957097$\Spuninst
Informações de Ficheiros Consulte o Artigo 957097 da Base de Dados de Conhecimento da Microsoft
Ficheiro log da actualização KB957097.log
Informações de Remoção Utilize a ferramenta Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB957097$\Spuninst
Verificação da Chave de Registo HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB957097\Filelist
V1.1 (12 de Novembro de 2008): Entrada corrigida nas Perguntas Mais Frequentes, na secção sobre a Vulnerabilidade de Reflexão de Credenciais SMB - CVE-2008-4037, para clarificar os relatórios de código de prova de conceito publicado. A Microsoft não tinha recebido quaisquer relatórios directos que indicassem que esta vulnerabilidade tivesse sido utilizada publicamente para atacar clientes.
V1.2 (10 de Dezembro de 2008): Ligação adicionada para o Artigo 957097 da Base de Dados de Conhecimento da Microsoft, na secção de Questões Conhecidas, no Resumo Executivo, e adicionada uma entrada sobre questões conhecidas à secção de Perguntas Mais Frequentes relativas a esta Actualização de Segurança.