Boletim de Segurança da Microsoft MS05-007

Essa é uma vulnerabilidade de divulgação de informações. O invasor que explorar com êxito essa vulnerabilidade poderá ler remotamente os nomes dos usuários que possuam uma conexão aberta com um recurso compartilhado disponível.

•

As práticas recomendadas para firewall e as configurações de firewall padrão podem ajudar a proteger as redes contra ataques com origem externa ao perímetro da empresa. Essas práticas também recomendam que os sistemas conectados à Internet tenham um número mínimo de portas expostas.

•

Interromper ou desabilitar o serviço Localizador de Computadores e, em seguida, reiniciar o sistema afetado atenua essa vulnerabilidade. A divulgação de informações não ocorrerá se esse serviço tiver sido interrompido ou desabilitado. Por padrão, o serviço Localizador de Computadores não é executado no Windows XP Service Pack 2. Os sistemas Windows XP Service Pack 2 que não são membros de um domínio possuem o Localizador de Computadores desabilitado. Por padrão, nos sistemas Windows XP Service 2 que não são membros de um domínio, o firewall do Windows está desabilitado e o Localizador de computadores não é iniciado. Caso o firewall do Windows esteja desabilitado ou o Compartilhamento de Arquivos e Impressoras esteja habilitado, o serviço Localizador de Computadores iniciará com êxito e o sistema poderá estar vulnerável a esse problema.

Início da sessão

A Microsoft testou as seguintes soluções alternativas. Apesar de essas soluções alternativas não corrigirem a vulnerabilidade subjacente, elas ajudam a bloquear vetores de ataque conhecidos. Quando uma solução alternativa reduz a funcionalidade, ela é indicada na seção a seguir.

•	Desabilitar o serviço Localizador de Computadores Desabilitar o serviço Localizador de Computadores e reiniciar o sistema afetado ajudará a proteger contra tentativas de exploração remota dessa vulnerabilidade. Desabilite o serviço Localizador de Computadores fazendo o seguinte: 1. Clique em Iniciar e, em seguida, clique em Painel de Controle (ou aponte para Configurações e, em seguida, clique em Painel de Controle). 2. Clique duas vezes em Ferramentas Administrativas. 3. Clique duas vezes em Serviços. 4. Clique duas vezes em Localizador de Computadores. 5. Na lista Tipo de inicialização, clique em Desativado. 6. Clique em Parar e, em seguida, clique em OK. 7. Reinicie o sistema afetado para que essa solução alternativa funcione. Impacto da solução alternativa: se o serviço Localizador de Computadores estiver desabilitado, os serviços que dependerem dele explicitamente deverão registrar uma mensagem de erro no log de eventos do sistema. Para obter mais informações sobre o serviço Localizador de Computadores, consulte o artigo 188001 do Microsoft Knowledge Base.
•	Use as configurações de Diretiva de Grupo para desabilitar o serviço Localizador de Computadores em todos os sistemas afetados que não precisem desse recurso. Como o serviço Localizador de Computadores é um possível vetor de ataque, desabilite-o usando as configurações de Diretiva de Grupo. É possível desabilitar a inicialização desse serviço no nível Local, Site, Domínio ou Unidade Organizacional usando a funcionalidade do objeto Diretiva de Grupo nos ambientes de domínio do Windows 2000 ou Windows Server 2003. Para obter mais informações sobre como desabilitar esse serviço por meio de scripts de login, consulte o artigo 297789 do Microsoft Knowledge Base. Observação Também é possível examinar o Windows 2000 Hardening Guide (site em inglês). Esse guia inclui informações sobre como desabilitar os serviços. Para obter mais informações sobre a Diretiva de Grupo, visite estes sites: • Step-by-Step Guide to Understanding the Group Policy Feature Set • Windows 2000 Group Policy • Group Policy in Windows Server 2003 Impacto da solução alternativa: se o serviço Localizador de Computadores estiver desabilitado, os serviços que dependerem dele explicitamente deverão registrar uma mensagem de erro no log de eventos do sistema. Para obter mais informações sobre o serviço Localizador de Computadores, consulte o artigo 188001 do Microsoft Knowledge Base.
•	Bloquear as portas TCP 139 e 445 no firewall: Essas portas são usadas para iniciar uma conexão com o protocolo afetado. O bloqueio dessas portas no firewall ajudará a proteger os sistemas atrás do firewall contra as tentativas de exploração dessa vulnerabilidade. Recomendamos que você bloqueie todas as comunicações de entrada não solicitadas da Internet para ajudar a evitar ataques que possam usar outras portas. Para obter mais informações sobre as portas, visite este site.
•	Use um firewall pessoal, como o Firewall de Conexão com a Internet, incluído no Windows XP, e não habilite o “Compartilhamento de arquivos e impressoras para redes Microsoft”. Por padrão, o recurso Firewall de Conexão com a Internet do Windows XP ajuda a proteger a sua conexão com a Internet bloqueando tráfegos de entrada não solicitados. É recomendável que você bloqueie toda a comunicação de entrada não solicitada da Internet. Se você tiver habilitado o “Compartilhamento de arquivos e impressoras para redes Microsoft”, essa opção criará uma exceção para permitir a comunicação nas portas afetadas. O sistema ainda estaria vulnerável ao problema, mesmo com o Firewall de Conexão com a Internet habilitado. A exceção do “Compartilhamento de arquivos e impressoras para redes Microsoft” deve ser removida para ajudar na proteção contra essa vulnerabilidade. Para habilitar o recurso Firewall de Conexão com a Internet, usando o Assistente para Configuração de Rede, siga estas etapas: 1. Clique em Iniciar e em Painel de Controle. 2. No modo Exibição por Categoria padrão, clique em Conexões de Rede e de Internet e, em seguida, clique em Configurar ou alterar a rede doméstica ou de pequena empresa. O recurso Firewall de Conexão com a Internet é habilitado quando você escolhe uma configuração no Assistente para Configuração de Rede que indica se seu sistema está conectado diretamente à Internet. Para configurar o Firewall de Conexão com a Internet manualmente para uma conexão, siga estas etapas: 1. Clique em Iniciar e em Painel de Controle. 2. No modo Exibição por Categoria padrão, clique em Conexões de Rede e de Internet e, em seguida, clique em Conexões de Rede. 3. Clique com o botão direito do mouse na conexão desejada para habilitar o Firewall de Conexão com a Internet e clique em Propriedades. 4. Clique para desmarcar “Compartilhamento de arquivos e impressoras para redes Microsoft”. 5. Clique na guia Avançado. 6. Marque a caixa de seleção Proteger o computador e a rede limitando ou impedindo o acesso a este computador através da Internet e, em seguida, clique em OK. Observação: se desejar habilitar determinados programas e serviços para que eles se comuniquem através do firewall, clique em Configurações na guia Avançado e selecione os programas, os protocolos e os serviços necessários.
•	Habilitar a filtragem TCP/IP avançada em sistemas que oferecem suporte a esse recurso. Você pode habilitar a filtragem TCP/IP avançada para impedir todo e qualquer tráfego de entrada não solicitado. Para obter mais informações sobre como configurar a filtragem TCP/IP, consulte o artigo 309798 (site em inglês) do Microsoft Knowledge Base. Sempre que esse documento mencionar o Windows 2000, isto também se aplicará ao Windows XP.
•	Bloquear as portas afetadas usando o IPSec nos sistemas afetados. Use o Internet Protocol Security (IPSec, segurança de protocolo da Internet) para ajudar a proteger as comunicações de rede. Informações detalhadas sobre o IPSec e a aplicação de filtros estão disponíveis nos artigos 313190 e 813878 do Microsoft Knowledge Base. Sempre que esse documento mencionar o Windows 2000, isto também se aplicará ao Windows XP.

Início da sessão

Qual é o escopo da vulnerabilidade?
Essa é uma vulnerabilidade de divulgação de informações. O invasor que explorar com êxito essa vulnerabilidade poderá ler remotamente os nomes dos usuários que possuam uma conexão aberta com um recurso compartilhado disponível. Observe que essa vulnerabilidade não permite que um invasor execute códigos ou aumente seus direitos de usuário diretamente, mas ela pode ser usada para gerar informações úteis que poderiam ser usadas para tentar comprometer ainda mais o sistema afetado.

O que provoca a vulnerabilidade?
O processo que é usado pelo software afetado para validar informações de autenticação quando um cliente faz logon anônimo usando uma conexão de pipe nomeado.

O que é um pipe nomeado?
Os pipes nomeados podem ser usados para estabelecer comunicação entre processos no mesmo computador ou entre processos em computadores diferentes de uma rede. São recursos típicos de pipes nomeados os compartilhamentos de arquivos e de impressoras. Para obter mais informações sobre pipes nomeados, visite o site MSDN Library.

Como posso saber se o serviço Localizador de Computadores é usado no meu servidor?

Por padrão, o serviço Localizador de Computadores é instalado e executado no Windows XP Service Pack 1. Por padrão, o serviço Localizador de Computadores é desabilitado no Windows XP Service Pack 2. Você pode determinar se o serviço Localizador de Computadores foi instalado seguindo este procedimento.

Para verificar o serviço Localizador de Computadores:

1.	Clique em Iniciar, clique em Programas, clique em Ferramentas Administrativas e clique em Serviços.
2.	Verifique se o serviço Localizador de Computadores está presente.
3.	Se o serviço Localizador de Computadores estiver em execução, siga as instruções contidas na seção “Soluções alternativas” deste boletim de segurança para desabilitar o serviço.

Para que um invasor pode usar a vulnerabilidade?
O invasor que explorar com êxito essa vulnerabilidade poderá ler remotamente os nomes dos usuários que possuam uma conexão aberta com um recurso compartilhado disponível.

Quem pode explorar a vulnerabilidade?
Qualquer usuário anônimo que enviar uma solicitação específica ao sistema afetado poderá tentar explorar essa vulnerabilidade.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?
O Windows XP é o que corre maior risco com essa vulnerabilidade. Outras versões de sistema operacional executam validação adicional na solicitação de comunicação. Essa validação adicional impede, com êxito, a conexão anônima. Para realizar a validação adicional, são usadas configurações do Registro, como RestrictAnonymous. No Windows XP, essa vulnerabilidade permite a comunicação com usuários anônimos, mesmo que a configuração do Registro RestrictAnonymous esteja habilitada. Após a instalação da atualização de segurança, a configuração do Registro RestrictAnonymous do Windows XP bloqueará com êxito esse tipo de solicitação de comunicação anônima. Para obter mais informações sobre o RestrictAnonymous, visite o seguinte site da Microsoft.

A vulnerabilidade pode ser explorada pela Internet?
Sim. Um invasor pode tentar explorar essa vulnerabilidade através da Internet. As práticas recomendadas de firewall e as configurações de firewall padrão podem ajudar na proteção contra ataques originados na Internet. A Microsoft forneceu informações sobre como você pode ajudar a proteger o seu PC. Os usuários finais podem visitar o site Proteja seu PC Os profissionais de TI podem visitar o site Security Guidance Center (em inglês).

O que a atualização faz?
A atualização remove a vulnerabilidade, modificando o modo como o processo usado pelo software afetado valida as informações de autenticação.

Quando este boletim de segurança foi publicado, essa vulnerabilidade já havia sido divulgada publicamente?
Não. A Microsoft recebeu informações sobre essa vulnerabilidade por meio de divulgação responsável. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido divulgada publicamente quando este boletim de segurança foi lançado pela primeira vez.

Quando este boletim de segurança foi publicado, a Microsoft havia recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido usada publicamente para atacar clientes e não testemunhou nenhum exemplo de publicação de código de verificação de conceito quando este boletim de segurança foi lançado pela primeira vez.

Início da sessão

Pré-requisitos
Esta atualização de segurança requer o Microsoft Windows XP Service Pack 1 ou uma versão posterior. Para obter mais informações, consulte o artigo 322389 (em inglês) do Microsoft Knowledge Base.

Inclusão em service packs futuros:
A atualização para esse problema será incluída em um service pack ou conjunto de atualizações futuro.

Informações de instalação

Esta atualização de segurança oferece suporte às seguintes opções de instalação:

      /help                 Exibe as opções de linha de comando

Modos de instalação

      /quiet                Modo Silencioso (sem interação com o usuário ou exibição)

      /passive            Modo Autônomo (apenas barra de progresso)

      /uninstall          Desinstala o pacote

Opções de reinicialização

      /norestart          Não reinicializa quando a instalação é concluída

      /forcerestart      Reinicia após a instalação

Opções especiais

      /l                        Lista hotfixes do Windows ou pacotes de atualização instalados

      /o                       Sobrescreve os arquivos OEM sem notificação

      /n                       Não faz backup de arquivos necessários à desinstalação

      /f                        Força o encerramento de outros programas quando o computador é desligado

      /integrate:caminho  Integra a atualização aos arquivos originais do Windows localizados no caminho especificado

      /extract             Extrai os arquivos sem iniciar o programa de instalação

Observação É possível combinar essas opções em uma única linha de comando. Para obter compatibilidade com versões anteriores, a atualização de segurança também oferece suporte às opções de instalação utilizadas por versões anteriores do utilitário de instalação. Para obter mais informações sobre as opções de instalação suportadas, consulte o Artigo 262841 (em inglês) do Microsoft Knowledge Base. Para obter mais informações sobre o instalador Update.exe, visite o site Microsoft TechNet.

Informações de implantação

Para instalar a atualização de segurança sem qualquer intervenção do usuário, use o seguinte comando em um prompt de comando do Microsoft Windows XP:

Windowsxp-kb888302-x86-enu /passive /quiet

Para instalar a atualização de segurança sem forçar a reinicialização do sistema, use o seguinte comando em um prompt de comando do Windows XP:

Windowsxp-kb888302-x86-enu /norestart

Para obter informações sobre como implantar esta atualização de segurança com os Software Update Services, visite o site Software Update Services.

Requisito de reinicialização

Essa atualização não requer uma reinicialização. O instalador interrompe os serviços necessários, aplica a atualização e reinicia-os em seguida. Contudo, se esses serviços necessários não puderem ser interrompidos por algum motivo, ou se os arquivos necessários estiverem em uso, a atualização exigirá uma reinicialização. Se isso ocorrer, uma mensagem que aconselha a reinicialização será exibida. Para reduzir a chance de uma reinicialização não ser solicitada, interrompa todos os serviços afetados e feche todos os aplicativos que possam usar os arquivos afetados antes de instalar a atualização de segurança.

Informações sobre remoção

Para remover esta atualização de segurança, use a ferramenta Adicionar ou remover programas, no Painel de controle.

Os administradores de sistema também podem usar o utilitário Spuninst.exe para remover esta atualização de segurança. O utilitário Spuninst.exe está localizado na pasta %Windir%\$NTUninstallKB888302$\Spuninst. O utilitário Spuninst.exe oferece suporte às seguintes opções de instalação:

      /help                 Exibe as opções de linha de comando

Modos de instalação

      /quiet                Modo Silencioso (sem interação com o usuário ou exibição)

      /passive            Modo Autônomo (apenas barra de progresso)

Opções de reinicialização

      /norestart          Não reinicia após a conclusão da instalação

      /forcerestart      Reinicia após a instalação

Opções especiais

      /f                        Força o encerramento de outros programas quando o computador é desligado

Informações sobre o arquivo

A versão em inglês desta atualização de segurança tem os atributos de arquivo relacionados na tabela abaixo. As datas e as horas destes arquivos estão de acordo com o tempo universal coordenado (UTC). Quando você exibe as informações do arquivo, a hora é convertida para o horário local. Para saber a diferença entre o UTC e o horário local, use a guia Fuso Horário na ferramenta Data e Hora, no Painel de Controle.

Windows XP Home Edition Service Pack 1, Windows XP Professional Service Pack 1, Windows XP Tablet PC Edition, Windows XP Media Center Edition, Windows XP Home Edition Service Pack 2, Windows XP Professional Service Pack 2, Windows XP Tablet PC Edition 2005 e Windows XP Media Center Edition 2005:

Windows XP 64-Bit Edition Service Pack 1 (Itanium):

Observações: a versão do Windows XP desta atualização de segurança está em pacotes de modo duplo. Os pacotes de modo duplo contêm arquivos da versão original do Windows XP Service Pack 1 (SP1) e do Windows XP Service Pack 2 (SP2).

Para obter mais informações sobre pacotes de modo duplo, consulte o Artigo 328848 do Microsoft Knowledge Base.

Quando você instalar esta atualização de segurança no Windows XP SP2, o instalador verificará se um ou mais arquivos que estão sendo atualizados no sistema já foram atualizados por uma hotfix da Microsoft.

Se você já tiver instalado uma hotfix para atualizar um arquivo afetado, uma das seguintes condições ocorrerá, dependendo do seu sistema operacional:

Se você não tiver instalado anteriormente um hotfix para atualizar um arquivo afetado, poderá ocorrer uma das seguintes situações, dependendo do seu sistema operacional:

Para obter mais informações sobre esse comportamento, consulte o Artigo 824994 do Microsoft Knowledge Base.

Para obter mais informações sobre o instalador Update.exe, visite o site Microsoft TechNet.

Para obter mais informações sobre a terminologia que aparece neste boletim, como hotfix, consulte o artigo 824684 do Microsoft Knowledge Base.

Verificando se a atualização foi aplicada