Source: https://technet.microsoft.com/pt-pt/library/security/ms12-020.aspx
Timestamp: 2017-10-23 10:16:44+00:00
Document Index: 47810043

Matched Legal Cases: ['Artigo 2671387', 'Artigo 306300', 'Artigo 2671387', 'Artigo 951608', 'Artigo 2621440', 'Artigo 2621440', 'Artigo 2667402']

Microsoft Security Bulletin MS12-020 - Crítica
Vulnerabilidades no Ambiente de Trabalho Remoto Poderiam Permitir Execução Remota de Código (2671387)
Data de publicação: 13 de março de 2012 | Updated: 12 de junho de 2012
Esta actualização de segurança resolve duas vulnerabilidades no Protocolo de Ambiente de Trabalho Remoto, comunicadas de forma privada. A mais grave destas vulnerabilidades poderia permitir execução remota de código se um intruso enviasse uma sequência de pacotes RDP especialmente concebida para o efeito a um sistema afectado. Por predefinição, o Protocolo de Ambiente de Trabalho Remoto (RDP) não está activado em nenhum sistema operativo Windows. Os sistemas que não têm o RDP activado não estão susceptíveis.
A actualização de segurança resolve as vulnerabilidades modificando a forma como o Protocolo de Ambiente de Trabalho Remoto processa pacotes na memória e a forma como o serviço RDP processa pacotes. Para mais informações sobre as vulnerabilidades, consulte a subsecção de Perguntas Mais Frequentes quanto à vulnerabilidade específica na secção seguinte, Informações sobre as Vulnerabilidades.
Questões conhecidas. O Artigo 2671387 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estas questões.
(KB2621440) Execução Remota de Código Crítica KB2570222 em MS11-065 substituído por KB2621440
(KB2621440) Execução Remota de Código Crítica Nenhum boletim substituído por KB2621440
(KB2667402) Execução Remota de Código Crítica[1] Nenhum boletim substituído por KB2621440
Nenhum boletim substituído por KB2667402
[1] O pacote de actualização KB2621440 resolve a vulnerabilidade CVE-2012-0002 e o pacote de actualização KB2667402 resolve a vulnerabilidade CVE-2012-0152. Embora a vulnerabilidade CVE-2012-0152 tenha uma classificação de gravidade mais baixa do que a vulnerabilidade KB2621440 nas versões afectadas do Microsoft Windows, a classificação de gravidade agregada é Crítica com base em CVE-2012-0002. Os clientes devem aplicar todas as actualizações oferecidas para a versão do Microsoft Windows instalada nos respectivos sistemas.
Por que razão foi relançado este boletim a 12 de Junho de 2012?
A Microsoft relançou este boletim para voltar a oferecer a actualização de segurança KB2667402 para todas as edições do Windows 7 e do Windows Server 2008 R2. A nova oferta desta actualização resolve uma questão presente na actualização originalmente oferecida a 13 de Março de 2012, nos casos em que a actualização é instalada no Windows 7 ou no Windows Server 2008 R2 e o sistema operativo é posteriormente actualizado para o Service Pack 1. Este cenário resulta na versão incorrecta do binário de rdpcorekmts.dll (6.1.7600.16952), que é instalada em vez da versão correcta (6.1.7601.17514). Os sistemas que executam edições suportadas do Windows 7 e do Windows Server 2008 R2 receberão automaticamente a nova versão desta actualização. Os clientes que utilizam estes sistemas operativos, incluindo os que já instalaram com sucesso a actualização originalmente oferecida a 13 de Março de 2012, devem instalar a actualização que voltou a ser oferecida.
O Windows Developer Preview é afectado por alguma das vulnerabilidades resolvidas neste boletim?
Sim. A actualização KB2621440 está disponível para o Windows Developer Preview. Aconselha-se os clientes com o Windows Developer Preview a aplicarem a actualização nos seus sistemas. A actualização apenas está disponível no Windows Update.
Estou a executar um sistema operativo afectado, mas não tenho o Protocolo de Ambiente de Trabalho (RDP) activado. Receberei a actualização ?
Sim. Embora os sistemas que não têm o RDP activado não estejam susceptíveis às vulnerabilidades, os clientes que não tenham activado o RDP continuarão a receber esta actualização para ajudar a assegurar a protecção dos seus sistemas.
Sim. Os clientes devem aplicar todas as actualizações oferecidas para a versão do Microsoft Windows instalada nos seus sistemas.
Vulnerabilidade no Protocolo de Ambiente de Trabalho Remoto - CVE-2012-0002 (KB2621440)
Vulnerabilidade de Negação de Serviço no Servidor de Terminal - CVE-2012-0152 (KB2667402)
Vulnerabilidade no Protocolo de Ambiente de Trabalho Remoto - CVE-2012-0002
Existe uma vulnerabilidade de execução remota de código na forma como o Protocolo de Ambiente de Trabalho Remoto acede a um objecto na memória incorrectamente inicializado ou apagado. Um intruso que conseguisse explorar esta vulnerabilidade com êxito poderia executar código arbitrário no sistema visado. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2012-0002.
Factores Atenuantes para a Vulnerabilidade no Protocolo de Ambiente de Trabalho Remoto - CVE-2012-0002
Por predefinição, o Protocolo de Ambiente de Trabalho Remoto não está activado em nenhum sistema operativo Windows. Os sistemas que não têm o RDP activado não estão susceptíveis. Note que, no Windows XP e no Windows Server 2003, a Assistência Remota pode activar o RDP.
Os procedimentos recomendados de firewall e as configurações de firewall padrão predefinidas podem ajudar a proteger as redes de ataques provenientes do exterior do perímetro da empresa. É recomendado que os sistemas ligados directamente à Internet tenham um número mínimo de portas exposto.
Soluções Alternativas para a Vulnerabilidade no Protocolo de Ambiente de Trabalho Remoto - CVE-2012-0002
Desactivar as funcionalidades Serviços de Terminal, Ambiente de Trabalho Remoto, Assistência Remota e Remote Web Workplace do Windows Small Business Server 2003 se já não forem necessárias
Se já não necessitar destes serviços no seu sistema, considere desactivá-los como um procedimento de segurança recomendado. Desactivar serviços não necessários ou não usados ajuda a reduzir a sua exposição a vulnerabilidades de segurança.
Para obter mais informações sobre como desactivar o Ambiente de Trabalho Remoto manualmente, consulte Desactivar o Ambiente de Trabalho Remoto.
Para obter mais informações sobre como desactivar o Ambiente de Trabalho Remoto utilizando a Política de Grupos, consulte o Artigo 306300 da Base de Dados de Conhecimento da Microsoft.
Para obter informações sobre Assistência Remota, incluindo instruções sobre como desactivar a Assistência Remota manualmente e através da Política de Grupos, consulte o artigo da TechNet sobre Assistência Remota.
Para obter informações sobre como desactivar as funcionalidades Serviços de Terminal e Remote Web Workplace do Windows Small Business Server 2003, consulte o artigo TechNet sobre como Manter a Segurança da sua Rede Windows Small Business Server 2003.
Bloquear a porta TCP 3389 na firewall de perímetro da empresa
A porta TCP 3389 é usada para iniciar uma ligação com o componente afectado. O bloqueio desta porta na firewall de perímetro de rede ajuda a impedir que os sistemas protegidos por essa firewall sejam atacados por tentativas de explorar esta vulnerabilidade. Isso pode ajudar a proteger as redes contra ataques que têm origem fora do perímetro da empresa. Bloquear as portas afectadas no perímetro da empresa é a melhor defesa para ajudar a evitar ataques baseados na Internet. Contudo, os sistemas ainda poderiam estar vulneráveis a ataques a partir do interior do perímetro da empresa.
Além disso, no Windows XP e no Windows Server 2003, a firewall do Windows pode ajudar a proteger sistemas individuais. Por predefinição, a firewall do Windows não permite ligações a esta porta, excepto no Windows XP Service Pack 2, quando a funcionalidade Ambiente de Trabalho remoto está activada. Para mais informações sobre como desactivar a excepção da Firewall do Windows para Ambiente de Trabalho Remoto nestas plataformas, consulte o artigo TechNet sobre como Activar ou Desactivar a Regra de Firewall do Ambiente de Trabalho Remoto. Se não puder desactivar a excepção da firewall do Windows para o Ambiente de Trabalho Remoto, pode ajudar a reduzir a abrangência desta vulnerabilidade definindo o valor predefinido de todos os computadores (incluindo da Internet), para a rede local. Fazer isto ajuda a reduzir a probabilidade de ataques a partir da Internet.
Nota O Windows Small Business Server 2003 utiliza uma funcionalidade denominada Remote Web Workplace. Esta funcionalidade utiliza a porta TCP 4125 para detectar ligações RDP. Se estiver a usar esta funcionalidade, deve certificar-se de que esta porta também está bloqueada a partir da Internet, além da porta 3389.
Nota É possível alterar manualmente os componentes afectados para usar outras portas. Se tiver executado estas acções, também deve bloquear essas portas adicionais.
Activar a Autenticação de Nível de Rede em sistemas que executam edições suportadas do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2
Nota Consulte o Artigo 2671387 da Base de Dados de Conhecimento da Microsoft para utilizar a solução automática de correcção da Microsoft para activar ou desactivar esta solução alternativa.
Pode activar a Autenticação de Nível de Rede para impedir que intrusos não autenticados explorem esta vulnerabilidade. Com a Autenticação de Nível de Rede activada, um intruso teria de se autenticar nos Serviços de Ambiente de Trabalho Remoto utilizando uma conta válida no sistema visado antes de o intruso poder explorar a vulnerabilidade.
Para utilizar a Autenticação de Nível de Rede, o seu ambiente deve cumprir os seguintes requisitos:
O computador cliente deve utilizar, pelo menos, a Ligação ao Ambiente de Trabalho Remoto 6.0.
O computador cliente deve utilizar um sistema operativo, tal como o Windows 7 ou o Windows Vista, que suporte o protocolo Credential Security Support Provider (CredSSP).
O servidor RD Session Host deve executar o Windows Server 2008 R2 ou o Windows Server 2008.
Para configurar a Autenticação de Nível de Rede para uma ligação, execute os seguintes passos:
No servidor RD Session Host, abra a Configuração do Anfitrião de Sessões de Ambiente de Trabalho Remoto. Para abrir a Configuração do Anfitrião de Sessões de Ambiente de Trabalho Remoto, clique em Iniciar, seleccione FerramentasAdministrativas, seleccione Serviços de Ambiente de Trabalho Remoto e clique em Configuração do Anfitrião de Sessões de Ambiente de Trabalho Remoto.
Em Ligações, clique com o botão direito do rato no nome da ligação e clique em Propriedades.
No separador Geral, seleccione a caixa de verificação Permitir apenas ligações de computadores que estejam a executar o Ambiente de Trabalho Remoto com Autenticação de Nível de Rede.
Se a caixa de verificação Permitir apenas ligações de computadores que estejam a executar o Ambiente de Trabalho Remoto com Autenticação de Nível de Rede estiver seleccionada e não estiver activada, a definição na Política de Grupos Exigir autenticação de utilizadores para ligações remotas através da Autenticação de Nível de Rede foi activada e aplicada ao servidor RD Session Host.
Impacto da solução alternativa. Os computadores cliente que não suportam o protocolo Credential Security Support Provider (CredSSP) não poderão aceder a servidores protegidos com Autenticação de Nível de Rede. Nota Para administradores que implementem esta solução alternativa num ambiente de rede misto em que os sistemas Windows XP Service Pack 3 têm de utilizar o Ambiente de Trabalho Remoto, consulte o Artigo 951608 da Base de Dados de Conhecimento da Microsoft para obter informações sobre como activar o CredSSP no Windows XP Service Pack 3.
Para obter mais informações sobre a Autenticação de Nível de Rede, incluindo indicações sobre como activar a Autenticação de Nível de Rede utilizando a Política de Grupos, consulte o artigo TechNet sobre como Configurar a Autenticação de Nível de Rede para Ligações de Serviços de Ambiente de Trabalho Remoto.
Perguntas Mais Frequentes sobre a Vulnerabilidade no Protocolo de Ambiente de Trabalho Remoto - CVE-2012-0002
A vulnerabilidade é provocada quando o Protocolo de Ambiente de Trabalho Remoto processa uma sequência de pacotes especialmente concebidos para o efeito, resultando no acesso de objecto na memória que não tenha sido inicializado correctamente ou que tenha sido eliminado.
O que é o Protocolo de Ambiente de Trabalho Remoto (RDP) ?
O Protocolo de Ambiente de Trabalho Remoto (RDP) permite que os utilizadores criem uma sessão virtual nos seus computadores. O RDP permite que os utilizadores remotos acedam a todos os dados e aplicações nos seus computadores. Para mais informações, consulte o artigo MSDN sobre o Protocolo de Ambiente de Trabalho Remoto.
O ambiente de trabalho remoto está activado por predefinição?
Não, o RDP não está activado por predefinição para administração. Contudo, os clientes que não tenham o RDP activado continuarão a receber esta actualização, de forma a ajudar a garantir a protecção dos seus sistemas. Para obter mais informações acerca desta configuração, consulte o artigo TechNet sobre Como activar e configurar o Ambiente de Trabalho Remoto para Administração no Windows Server 2003.
O que é a Autenticação de Nível de Rede para Serviços de Ambiente de Trabalho Remoto?
A Autenticação de Nível de Rede é um método de autenticação que pode ser utilizado para melhorar a segurança do servidor RD Session Host exigindo que o utilizador esteja autenticado no servidor RD Session Host antes de ser criada uma sessão. Para mais informações sobre a Autenticação de Nível de Rede, consulte o artigo TechNet sobre como Configurar a Autenticação de Nível de Rede para Ligações de Serviços de Ambiente de Trabalho Remoto.
Para sistemas que executam edições suportadas do Windows XP e do Windows Server 2003, um intruso remoto não autenticado poderia explorar esta vulnerabilidade enviando uma sequência de pacotes RDP especialmente concebida para o efeito ao sistema visado.
Para sistemas que executam edições suportadas do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 com a Autenticação de Nível de Rede desactivada, um intruso remoto não autenticado poderia explorar esta vulnerabilidade enviando uma sequência de pacotes RDP especialmente concebida para o efeito ao sistema visado.
Para sistemas que executam edições suportadas do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 com a Autenticação de Nível de Rede activada, um intruso teria de se autenticar nos Serviços de Ambiente de Trabalho Remoto utilizando uma conta válida no sistema visado. O intruso poderia então explorar esta vulnerabilidade enviando uma sequência de pacotes RDP especialmente concebidos para o efeito ao sistema visado.
Os servidores de terminal estão mais susceptíveis a esta vulnerabilidade. Os sistemas que não têm o RDP activado não estão susceptíveis. Adicionalmente, os sistemas que executam edições suportadas do Windows Vista, Windows 7, Windows Server 2008 e Windows Server 2008 R2 com a Autenticação de Nível de Rede activada estão pouco susceptíveis, uma vez que o intruso teria de se autenticar primeiro no serviço.
A actualização resolve a vulnerabilidade modificando a forma como o Protocolo de Ambiente de Trabalho Remoto processa pacotes na memória.
Vulnerabilidade de Negação de Serviço no Servidor de Terminal - CVE-2012-0152
Existe uma vulnerabilidade de negação de serviço na forma como o serviço Protocolo do Ambiente de Trabalho Remoto processa pacotes. Um intruso que explorasse esta vulnerabilidade com sucesso poderia fazer com que o serviço visado deixasse de responder.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2012-0152.
Factores Atenuantes para a Vulnerabilidade de Negação de Serviço no Servidor de Terminal - CVE-2012-0152
Por predefinição, o Protocolo de Ambiente de Trabalho Remoto não está activado em nenhum sistema operativo Windows. Os sistemas que não têm o RDP activado não estão susceptíveis.
Soluções Alternativas para a Vulnerabilidade de Negação de Serviço no Servidor de Terminal - CVE-2012-0152
Perguntas Mais Frequentes sobre a Vulnerabilidade de Negação de Serviço no Servidor de Terminal - CVE-2012-0152
A vulnerabilidade é causada quando o serviço Protocolo de Ambiente de Trabalho Remoto processa uma sequência de pacotes especialmente concebida para o efeito, resultando numa condição em que o serviço pára de responder.
O que é o Protocolo de Ambiente de Trabalho Remoto (RDP)?
Um intruso que explorasse esta vulnerabilidade com sucesso poderia fazer com que o serviço RDP deixasse de responder.
Um intruso remoto não autenticado poderia explorar esta vulnerabilidade enviando uma sequência de pacotes especialmente concebida para o efeito ao sistema visado.
Os servidores de terminal estão mais susceptíveis a esta vulnerabilidade. Os sistemas que não têm o RDP activado não estão susceptíveis.
A actualização resolve a vulnerabilidade modificando a forma como o serviço RDP processa pacotes.
Ficheiro de registo da actualização KB2621440.log
Informações de Remoção Utilize o item Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB2621440$\Spuninst
Informações de Ficheiros Consulte o Artigo 2621440 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB2621440\Filelist
Informações de Ficheiros Consulte o Artigo 2621440 da Base de Dados de Conhecimento da Microsoft e o Artigo 2667402 da Base de Dados de Conhecimento da Microsoft
Luigi Auriemma, a trabalhar com a Zero Day Initiative da TippingPoint, por fornecer informações sobre a Vulnerabilidade no Protocolo de Ambiente de Trabalho Remoto (CVE-2012-0002)
V2.0 (12 de Junho de 2012): Boletim relançado para oferecer novamente a actualização de segurança KB2667402 em todas as edições suportadas do Windows 7 e do Windows Server 2008 R2. Os clientes que utilizam o Windows 7 ou o Windows Server 2008 R2, incluindo os que já instalaram com sucesso a actualização originalmente oferecida a 13 de Março de 2012, devem instalar a actualização que voltou a ser oferecida. Para obter mais informações, consulte as perguntas frequentes sobre a actualização.