Source: https://technet.microsoft.com/pt-pt/library/security/ms12-006.aspx
Timestamp: 2017-08-24 01:49:15+00:00
Document Index: 154482036

Matched Legal Cases: ['Artigo 2643584', 'Artigo 2643584', 'Artigo 2643584', 'Artigo 2585542', 'Artigo 2585542', 'Artigo 2638806', 'Artigo 2585542', 'Artigo 2638806']

Microsoft Security Bulletin MS12-006 - Importante
2012 MS12-006
Vulnerabilidade no SSL/TLS Poderia Permitir Divulgação de Informações (2643584)
Data de publicação: 10 de janeiro de 2012 | Updated: 18 de janeiro de 2012
Esta actualização de segurança resolve uma vulnerabilidade, divulgada publicamente, no SSL 3.0 e no TLS 1.0. Esta vulnerabilidade afecta o próprio protocolo e não é específica do sistema operativo Windows. A vulnerabilidade poderia permitir divulgação de informações se um intruso interceptasse tráfego da Web encriptado servido a partir de um sistema afectado. O TLS 1.1, o TLS 1.2 e todos os conjuntos de cifras que não utilizam o modo CBC não são afectados.
A actualização de segurança resolve a vulnerabilidade modificando a forma como o componente Windows Secure Channel (Schannel) envia e recebe pacotes de rede encriptados. Para mais informações sobre a vulnerabilidade, consulte a subsecção de Perguntas Mais Frequentes (FAQ) quanto à vulnerabilidade específica na secção seguinte, Informações sobre as vulnerabilidades.
Esta actualização de segurança também resolve a vulnerabilidade descrita previamente no Aviso de Segurança da Microsoft 2588513.
Questões conhecidas. O Artigo 2643584 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estas questões.
(KB2585542) Divulgação de Informações Importante KB980436 em MS10-049 substituído por KB2585542
(KB2638806) Divulgação de Informações Importante KB980436 em MS10-049 substituído por KB2585542
Nenhum boletim substituído por KB2638806
(KB2585542) Divulgação de Informações Importante KB2207566 em MS10-085 substituído por KB2585542
Windows Server 2008 para sistemas de 32 bits Service Pack 2*
Windows Server 2008 para sistemas baseados em x64 Service Pack 2*
(KB2585542) Divulgação de Informações Importante KB2207566 em MS10-085 e KB2385678 em MS10-095 substituído por KB2585542
(KB2585542) Divulgação de Informações Importante Nenhum boletim substituído por KB2585542
Windows Server 2008 R2 para sistemas baseados em x64*
Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1*
Como é que esta actualização de segurança está relacionada com o boletim MS11- 0 9 9 ?
Para estarem protegidos contra o vector de ataque baseado na Web através do Internet Explorer para a Vulnerabilidade nos Protocolos SSL e TLS (CVE-2011-3389) tal como descrito neste boletim, os clientes devem instalar esta actualização, MS12-006, e a Actualização de Segurança Cumulativa para o Internet Explorer, MS11-099.
São necessárias duas actualizações diferentes, uma vez que as modificações necessárias para resolver a questão se encontram em produtos Microsoft diferentes. Esta actualização, MS12-006, resolve a vulnerabilidade que afecta o WinHTTP e fornece a possibilidade de activar a protecção em todo o sistema. A actualização MS11-099 activa estas protecções para o Internet Explorer.
Por que razão este boletim contém duas actualizações para os sistemas operativos Windows XP Professional x64 Edition Service Pack 2 e Windows Server 2003 ?
Este boletim contém duas actualizações, identificadas pelo número do pacote KB, para os sistemas operativos Windows XP Professional x64 Edition Service Pack 2 e Windows Server 2003, conforme especificado na tabela de Software Afectado. As duas actualizações são necessárias porque as modificações necessárias para resolver a vulnerabilidade em sistemas operativos Windows XP Professional x64 Edition Service Pack 2 e Windows Server 2003 encontram-se em componentes separados.
Executo um sistema operativo Windows XP Professional x64 Edition Service Pack 2 ou Windows Server 2003 . Tenho de instalar ambas as actualizações oferecidas para o meu sistema?
Sim. Os clientes devem aplicar todas as actualizações oferecidas para o sistema operativo instalado nos respectivos sistemas.
Tenho de instalar estas actualizações de segurança seguindo uma sequência em particular?
Não. As várias actualizações para uma versão do Microsoft Windows podem ser aplicadas seguindo qualquer sequência.
Sim. Por predefinição, esta actualização é activada apenas em aplicações que utilizam o componente WinHTTP. Se executa actividades de desenvolvimento e pretende esta funcionalidade de segurança activada na sua aplicação, consulte os artigos MSDN sobre a função AcquireCredentialsHandle (Schannel) e a estrutura SCHANNEL_CRED.
As seguintes classificações de gravidade presumem o potencial impacto máximo da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após a publicação deste boletim de segurança, de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto de segurança, consulte o Índice de Possibilidade de Exploração no resumo dos boletins de Janeiro. Para obter mais informações, consulte o Índice de Possibilidade de Exploração da Microsoft.
Vulnerabilidade nos Protocolos SSL e TLS - CVE-2011-3389
Windows Server 2008 R2 para sistemas baseados em x64 e Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1* Importante
Windows Server 2008 R2 para sistemas baseados em Itanium e Windows Server 2008 R2 para sistemas baseados em Itanium Service Pack 1 Importante
Existe uma vulnerabilidade de divulgação de informações nos protocolos de encriptação SSL 3.0 e TLS 1.0. Esta vulnerabilidade afecta o próprio protocolo e não é específica do sistema operativo Windows. Esta é uma vulnerabilidade de divulgação de informações que permite a desencriptação de tráfego SSL/TLS encriptado. O tráfego HTTPS está mais susceptível a esta vulnerabilidade, uma vez que o browser é o vector de ataque principal, e todo o tráfego da Web servido através de HTTPS ou conteúdo misto HTTP/HTTPS é afectado.
Para visualizar esta vulnerabilidade como uma entrada comum na lista de Vulnerabilidades e Exposições Comuns, consulte CVE-2011-3389.
Factores Atenuantes para a Vulnerabilidade nos Protocolos SSL e TLS - CVE-2011-3389
O TLS 1.1, o TLS 1.2 e todos os conjuntos de cifras que não utilizam o modo CBC não são afectados.
Soluções Alternativas para a Vulnerabilidade nos Protocolos SSL e TLS - CVE-2011-3389
Dar prioridade ao algoritmo RC4 em software de servidor em sistemas que executam o Windows Vista, Windows Server 2008, Windows 7 ou Windows Server 2008 R2
O ataque afecta apenas conjuntos de cifras que utilizam algoritmos de encriptação simétricos no modo CBC, como AES, e não afecta o algoritmo RC4. Pode dar prioridade ao algoritmo RC4 no software de servidor para facilitar as comunicações seguras utilizando RC4 em vez de CBC. Consulte o artigo MSDN sobre como Dar prioridade a conjuntos de cifras Schannel, para saber como executar esta operação.
Aviso O cliente ou o servidor com o qual comunica tem de suportar o algoritmo RC4. Se o suporte para RC4 não estiver disponível, será utilizado um conjunto de cifras diferente se estiver disponível e esta solução alternativa será ineficaz.
Activar o TLS 1.1 e/ou o 1.2 em software cliente em sistemas que executam o Windows 7 ou o Windows Server 2008 R2
Pode activar uma versão diferente do protocolo TLS que não seja afectada por esta vulnerabilidade. Pode fazê-lo modificando as configurações de segurança avançadas do Internet Explorer.
Nota Consulte o Artigo 2643584 da Base de Dados de Conhecimento da Microsoft para utilizar a solução automática de correcção da Microsoft para activar ou desactivar esta solução alternativa para o TLS 1.1.
Para alterar a versão do protocolo predefinido a ser utilizado para pedidos HTTPS, execute os seguintes passos:
Na caixa de diálogo Opções da Internet, clique no separador Avançadas.
Na categoria Segurança, seleccione as caixas de verificação Utilizar TLS 1.1 e/ou Utilizar TLS 1.2.
Aviso Os servidores Web que não suportam TLS 1.1 ou 1.2 executam a negociação SSL com versões do SSL/TLS anteriores, anulando a solução alternativa.
Método de Implementação Gerida (activar o TLS 1.1 e desactivar o SSLv2)
Guarde o que se segue num ficheiro com a extensão .REG, como por exemplo, Disable_SSLv2.reg:
"SecureProtocols"=dword:00000200
Aviso Os servidores Web que não suportam TLS 1.1 executam a negociação SSL com versões do SSL/TLS anteriores, anulando a solução alternativa.
Activar o TLS 1.1 em software de servidor em sistemas que executam o Windows 7 ou o Windows Server 2008 R2
Pode activar o TLS 1.1, que não é afectado pela vulnerabilidade.
Consulte o Artigo 2643584 da Base de Dados de Conhecimento da Microsoft para utilizar a solução automática de correcção da Microsoft para activar ou desactivar esta solução alternativa para o TLS 1.1.
Aviso Os clientes Web que não suportam TLS 1.1 executam a negociação SSL com versões do SSL/TLS anteriores, anulando a solução alternativa.
Método de Implementação Gerida (activar o TLS 1.1)
Guarde o que se segue num ficheiro com a extensão .REG, como por exemplo, Enable_TLSv11.reg:
Perguntas Mais Frequentes sobre a Vulnerabilidade nos Protocolos SSL e TLS - CVE-2011-3389
Trata-se de uma vulnerabilidade ao nível da divulgação de informações. Um intruso que explorasse a vulnerabilidade poderia desencriptar partes do tráfego encriptado e recuperar informações tais como cookies de autenticação.
A vulnerabilidade é provocada por uma falha de design nos protocolos SSL e TLS quando o modo Cipher-block chaining (CBC) é utilizado.
O Protocolo Handshake por Transport Layer Security (TLS) é responsável pela autenticação e troca de chaves necessárias para estabelecer ou restabelecer sessões seguras. O Secure Sockets Layer (SSL) é um antecessor do protocolo Transport Layer Security. Tanto o TLS como o SSL executam as mesmas funções e suportam comunicações em rede seguras utilizando uma combinação de tecnologias de chaves secretas e públicas.
Para mais informações, consulte o artigo da TechNet sobre o Funcionamento do TLS/SSL.
Um intruso que controlasse uma comunicação encriptada e explorasse com êxito esta vulnerabilidade poderia desencriptar o tráfego encriptado que fosse interceptado.
Um intruso poderia injectar código nocivo numa resposta de HTTP ou alojar um Web site especialmente concebido para o efeito contendo código nocivo, forçando o browser a executar este código nocivo. Este código envia vários pedidos, dentro da mesma sessão de TLS/SSL, a um Web site HTTPS externo, em que o envio de cookies é automático se existir uma sessão autenticada anteriormente. Esta é uma condição necessária para explorar esta vulnerabilidade. O intruso tem de poder interceptar este tráfego de HTTP para explorar esta vulnerabilidade no SSL, resultando na possibilidade de desencriptar partes do tráfego encriptado (por exemplo, cookies de autenticação).
Uma vez que o browser é o vector de ataque primário, quaisquer sistemas, como as estações de trabalhos ou os servidores de terminal, que enviam e recebem tráfego de HTTPS estão mais susceptíveis a esta vulnerabilidade.
A actualização modifica a forma como o componente Windows Secure Channel (Schannel) envia e recebe pacotes de rede encriptados. A actualização resolve a vulnerabilidade que afecta o WinHTTP e fornece a possibilidade de activar a protecção em todo o sistema. No entanto, para estarem protegidos contra o vector de ataque baseado na Web através do Internet Explorer para esta vulnerabilidade, os clientes devem instalar esta actualização, MS12-006, e a Actualização de Segurança Cumulativa para o Internet Explorer (2618444), MS11-099.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2011-3389.
WindowsXP-KB2585542-x86-enu.exe /quiet
WindowsServer2003.WindowsXP-KB2585542-x64-enu.exe /quiet
WindowsServer2003.WindowsXP-KB2638806-x64-enu.exe /quiet
WindowsXP-KB2585542-x86-enu.exe /norestart
WindowsServer2003.WindowsXP-KB2585542-x64-enu.exe /norestart
WindowsServer2003.WindowsXP-KB2638806-x64-enu.exe /norestart
Ficheiro de registo da actualização Para o Windows XP Service Pack 3:
KB2585542.log
KB2585542.log e KB2638806.log
Informações de Remoção Para o Windows XP Service Pack 3:
Utilize o item Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB2585542$\Spuninst
Utilize o item Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado nas pastas %Windir%\$NTUninstallKB2585542$\Spuninst e %Windir%\$NTUninstallKB2638806$\Spuninst
Informações de Ficheiros Para o Windows XP Service Pack 3:
Consulte o Artigo 2585542 da Base de Dados de Conhecimento da Microsoft
Consulte o Artigo 2585542 da Base de Dados de Conhecimento da Microsoft e o Artigo 2638806 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo Para o Windows XP Service Pack 3:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP4\KB2585542\Filelist
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP Version 2003\SP3\KB2585542\Filelist
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP Version 2003\SP3\KB2638806\Filelist
/ norestart Não reinicia quando a instalação estiver concluída.
/ forcerestart Reinicia o computador depois da instalação e força as outras aplicações a fechar durante o processo de encerramento, sem antes gravar os ficheiros abertos.
/ warnrestart [:x] Apresenta uma caixa de diálogo com um temporizador avisando o utilizador de que o computador irá reiniciar dentro de x segundos. (A predefinição é de 30 segundos.) Destinado a ser usado com os parâmetros /quiet ou /passive.
/ promptrestart Apresenta uma caixa de diálogo pedindo ao utilizador local que autorize o reinício.
/ overwriteoem Substitui ficheiros OEM sem aviso.
/ nobackup Não faz cópias de segurança dos ficheiros necessários para desinstalação.
/ forceappsclose Força outros programas a fechar quando o computador é encerrado.
/ log:path Permite o redireccionamento de ficheiros de registo de instalação.
/ integrate:path Integra a actualização nos ficheiros de origem do Windows. Estes ficheiros estão localizados no caminho que é especificado no parâmetro.
/ norestart Não reinicia quando a instalação estiver concluída
WindowsServer2003-KB2585542-x86-enu.exe /quiet
WindowsServer2003-KB2638806-x86-enu.exe /quiet
WindowsServer2003-KB2585542-ia64-enu.exe /quiet
WindowsServer2003-KB2638806-ia64-enu.exe /quiet
WindowsServer2003-KB2585542-x86-enu.exe /norestart
WindowsServer2003-KB2638806-x86-enu.exe /norestart
WindowsServer2003-KB2585542-ia64-enu.exe /norestart
WindowsServer2003-KB2638806-ia64-enu.exe /norestart
Ficheiro de registo da actualização KB2585542.log
KB2638806.log
Informações de Remoção Utilize o item Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB2585542$\Spuninst
Utilize o item Adicionar ou Remover Programas no Painel de Controlo ou o utilitário Spuninst.exe que está localizado na pasta %Windir%\$NTUninstallKB2638806$\Spuninst
Informações de Ficheiros Consulte o Artigo 2585542 da Base de Dados de Conhecimento da Microsoft
Consulte o Artigo 2638806 da Base de Dados de Conhecimento da Microsoft
Verificação da Chave de Registo HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB2585542\Filelist
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows Server 2003\SP3\KB2638806\Filelist
Windows6.0-KB2585542-x86.msu /quiet
Windows6.0-KB2585542-x64.msu /quiet
Windows6.0-KB2585542-x86.msu /quiet /norestart
Windows6.0-KB2585542-x64.msu /quiet /norestart
/ norestart Quando combinado com /quiet, o sistema não será reiniciado depois da instalação, mesmo que seja necessário reiniciar para concluir a instalação.
Windows6.0-KB2585542-ia64.msu /quiet
Windows6.0-KB2585542-ia64.msu /quiet /norestart
Windows6.1-KB2585542-x86.msu /quiet
Windows6.1-KB2585542-x64.msu /quiet
Windows6.1-KB2585542-x86.msu /quiet /norestart
Windows6.1-KB2585542-x64.msu /quiet /norestart
Windows6.1-KB2585542-ia64.msu /quiet
Windows6.1-KB2585542-ia64.msu /quiet /norestart
V1.0 (10 de Janeiro de 2012): Boletim publicado.
V1.1 (18 de Janeiro de 2012): Adicionado o MS10-085 como boletim substituído pela actualização KB2585542 para Windows 7 para sistemas de 32 bits, Windows 7 para sistemas baseados em x64, Windows Server 2008 R2 para sistemas baseados em x64 e Windows Server 2008 R2 para sistemas baseados em Itanium. Trata-se de uma alteração informativa apenas. Não foram efectuadas alterações à lógica de detecção nem aos ficheiros de actualização.