Boletim de Segurança da Microsoft MS05-014

No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essas vulnerabilidades. O invasor também pode tentar comprometer um site para que ele exiba uma página da Web com conteúdo mal-intencionado. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor terá que atraí-los para o site, normalmente fazendo com que os usuários cliquem em um link para esse site.

O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário local. Os usuários cujas contas são configuradas com menos privilégios no sistema correm menos riscos do que aqueles que possuem privilégios administrativos.

Por padrão, o Microsoft Outlook Express 6, o Outlook 2000, o Outlook 2002 e o Outlook 2003 abrem mensagens de email em HTML na zona de sites restritos. O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado. A zona de sites restritos ajuda a reduzir os ataques que poderiam tentar explorar essa vulnerabilidade.

O risco de ataque a partir do vetor de email em HTML pode ser reduzido consideravelmente se você atender a estas condições:

Por padrão, o Internet Explorer no Windows Server 2003 é executado em um modo restrito, conhecido como Configuração de Segurança Avançada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas Freqüentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Avançada do Internet Explorer.

Desative “Arrastar e soltar ou copiar e colar arquivos” no Internet Explorer

Desative “Arrastar e soltar ou copiar e colar arquivos” no Internet Explorer seguindo estas etapas:

Defina a zona de segurança da Internet e da Intranet local como “Alto” para ser notificado antes que controles ActiveX e scripts ativos sejam executados nessas zonas.

Você pode ajudar na proteção contra essa vulnerabilidade alterando as configurações para que a zona de segurança da Internet solicite uma confirmação antes de executar controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador em Alto.

Para aumentar o nível de segurança da navegação no Microsoft Internet Explorer, faça o seguinte:

Observação Se o controle deslizante não estiver visível, clique em Nível padrão e mova o controle deslizante para Alto.

Observação: a configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança alta.

Opcionalmente, você pode alterar as configurações para notificar somente a execução de controles ActiveX. Para isso, siga estas etapas:

Impacto da solução alternativa: há efeitos colaterais para notificação antes da execução de controles ActiveX. Muitos sites que não estão na Internet ou na intranet usam o ActiveX para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos controles ActiveX é uma configuração global que afeta todos os sites da Internet e da Intranet. Você será notificado freqüentemente quando ativar essa solução alternativa. Em cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os controles ActiveX. Se você não deseja ser notificado para todos esses sites, use a solução alternativa “Restringir sites a apenas sites confiáveis”.

Restringir sites a apenas sites confiáveis.

Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

Para isso, siga estas etapas:

Adicione os sites que você considerar que não tenham ação mal-intencionada ao seu computador. Um site, em especial, que convém adicionar é “*.windowsupdate.microsoft.com” (sem as aspas). Este é o site que hospedará a atualização. Ele exige um controle ActiveX para instalar a atualização.

Se você estiver usando o Outlook 2002 ou posterior ou o Outlook Express 6 SP1 ou posterior, leia as mensagens de email no formato de texto sem formatação. Isso ajudará você a se proteger contra o vetor de ataque de email em HTML.

Os usuários do Microsoft Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir todas as mensagens de email sem assinatura digital ou não criptografadas somente como texto simples.

Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o artigo 307594 do Microsoft Knowledge Base.

Para obter informações sobre essa configuração no Outlook Express 6, consulte o artigo 291387 (em inglês) do Microsoft Knowledge Base.

Impacto da solução alternativa: as mensagens de email exibidas no formato de texto sem formatação não conterão figuras, fontes específicas, animações ou outro conteúdo formatado. Além disso:

O nível de segurança para a zona da Internet é definido como Alto. Essa configuração desabilita scripts, controles ActiveX, conteúdo em HTML da MSJVM (Microsoft Java Virtual Machine - máquina virtual da Microsoft) e downloads de arquivos.

A detecção automática de sites da intranet é desabilitada. Essa definição atribui todos os sites da intranet e todos os caminhos de UNC (Convenção universal de nomenclatura), que não estão listados explicitamente na zona de intranet local, para a zona da Internet.

A instalação de extensões de navegador que não são da Microsoft e sob demanda são desabilitadas. Essa definição evita que páginas da Web instalem componentes, automaticamente, e evita a execução de extensões que não são da Microsoft.

O conteúdo de multimídia é desabilitado. Essa definição evita a execução de música, animações e clipes de vídeo.

No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essas vulnerabilidades. O invasor também pode tentar comprometer um site para que ele exiba uma página da Web com conteúdo mal-intencionado. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor terá que atraí-los para o site, normalmente fazendo com que os usuários cliquem em um link para esse site.

O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário local. Os usuários cujas contas são configuradas com menos privilégios no sistema correm menos riscos do que aqueles que possuem privilégios administrativos.

Por padrão, o Microsoft Outlook Express 6, o Outlook 2000, o Outlook 2002 e o Outlook 2003 abrem mensagens de email em HTML na zona de sites restritos. O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado. A zona de sites restritos ajuda a reduzir os ataques que poderiam tentar explorar essa vulnerabilidade.

O risco de ataque a partir do vetor de email em HTML pode ser reduzido consideravelmente se você atender a estas condições:

Por padrão, o Internet Explorer no Windows Server 2003 é executado em um modo restrito, conhecido como Configuração de Segurança Avançada. Esse modo atenua a vulnerabilidade. Consulte a seção de perguntas freqüentes desta atualização de segurança para obter mais informações sobre a configuração de segurança avançada do Internet Explorer.

O Windows XP Service Pack 2 introduziu um aperfeiçoamento de segurança conhecido como bloqueio de zona de máquina local. Este aperfeiçoamento de segurança atenua essa vulnerabilidade. Consulte a seção de perguntas freqüentes desta atualização de segurança para obter mais informações sobre o bloqueio de zona de máquina local.

Restringir sites a apenas sites confiáveis.

Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

Para isso, siga estas etapas:

Adicione os sites que você considerar que não tenham ação mal-intencionada ao seu computador. Um site, em especial, que convém adicionar é “*.windowsupdate.microsoft.com” (sem as aspas). Este é o site que hospedará a atualização. Ele exige um controle ActiveX para instalar a atualização.

Instale a atualização descrita no Boletim de Segurança da Microsoft MS04-018 se você estiver usando o Outlook Express 5.5 SP2.

O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado.

Os clientes que utilizam um ou mais desses produtos correm menor risco de um ataque originado por um email que tente explorar essa vulnerabilidade, a menos que o usuário clique em um link mal-intencionado no email.

Se você estiver usando o Outlook 2002 ou posterior ou o Outlook Express 6 SP1 ou posterior, leia as mensagens de email no formato de texto sem formatação. Isso ajudará você a se proteger contra o vetor de ataque de email em HTML.

Os usuários do Microsoft Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir todas as mensagens de email sem assinatura digital ou não criptografadas somente como texto simples.

Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o artigo 307594 do Microsoft Knowledge Base.

Para obter informações sobre essa configuração no Outlook Express 6, consulte o artigo 291387 (em inglês) do Microsoft Knowledge Base.

Impacto da solução alternativa: as mensagens de email exibidas no formato de texto sem formatação não conterão figuras, fontes específicas, animações ou outro conteúdo formatado. Além disso:

No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essas vulnerabilidades. O invasor também pode tentar comprometer um site para que exiba uma página da Web com conteúdo mal-intencionado. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor terá que atraí-los para o site, normalmente fazendo com que os usuários cliquem em um link para esse site.

O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário local. Os usuários cujas contas são configuradas com menos privilégios no sistema correm menos riscos do que aqueles que possuem privilégios administrativos.

Por padrão, o Outlook Express 6, o Outlook 2002 e o Outlook 2003 abrem mensagens de email em HTML na zona de Sites restritos. Além disso, o Outlook 2000 abre mensagens de e-mail em HTML na zona de Sites restritos se a Atualização de Segurança do E-mail do Outlook estiver instalada. O Outlook Express 5.5 Service Pack 2 abrirá mensagens de email em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado. A zona de sites restritos ajuda a reduzir os ataques que poderiam tentar explorar essa vulnerabilidade.

O risco de ataque a partir do vetor de email em HTML pode ser reduzido consideravelmente se você atender a estas condições:

A vulnerabilidade não pode ser explorada automaticamente por email. Para que um ataque seja bem-sucedido, o usuário deve abrir um anexo enviado em uma mensagem de email.

Defina a configuração de zona de segurança da Internet e da Intranet local como “Alto” para poder confirmar a execução de controles ActiveX nessas zonas.

Você pode ajudar na proteção contra essa vulnerabilidade alterando as configurações para que a zona de segurança da Internet solicite uma confirmação antes de executar scripts ativos. É possível fazer isso configurando a segurança do navegador em Alto.

Para aumentar o nível de segurança da navegação no Microsoft Internet Explorer, faça o seguinte:

Observação Se o controle deslizante não estiver visível, clique em Nível padrão e mova o controle deslizante para Alto.

Observação: a configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança alta.

Opcionalmente, você pode alterar as configurações para notificar somente a execução de scripts ativos. Para isso, siga estas etapas:

Impacto da solução alternativa: a notificação antes da execução de scripts ativos apresenta efeitos colaterais. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado freqüentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se você não deseja ser notificado para todos esses sites, use a solução alternativa “Restringir sites a apenas sites confiáveis”.

Restringir sites a apenas sites confiáveis.

Depois de definir o Internet Explorer para solicitar confirmação antes de executar scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

Para isso, siga estas etapas:

Adicione os sites que você considerar que não tenham ação mal-intencionada ao seu computador. Um site, em especial, que convém adicionar é “*.windowsupdate.microsoft.com” (sem as aspas). Este é o site que hospedará a atualização. Ele exige um controle ActiveX para instalar a atualização.

Instale a atualização descrita no Boletim de Segurança da Microsoft MS04-018 se você estiver usando o Outlook Express 5.5 SP2.

O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado.

Os clientes que utilizam um ou mais desses produtos correm menor risco de um ataque originado por um email que tente explorar essa vulnerabilidade, a menos que o usuário clique em um link mal-intencionado no email.

Se você estiver usando o Outlook 2002 ou posterior ou o Outlook Express 6 SP1 ou posterior, leia as mensagens de email no formato de texto sem formatação. Isso ajudará você a se proteger contra o vetor de ataque de email em HTML.

Os usuários do Microsoft Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir todas as mensagens de email sem assinatura digital ou não criptografadas somente como texto simples.

Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o artigo 307594 do Microsoft Knowledge Base.

Para obter informações sobre essa configuração no Outlook Express 6, consulte o artigo 291387 (em inglês) do Microsoft Knowledge Base.

Impacto da solução alternativa: as mensagens de email exibidas no formato de texto sem formatação não conterão figuras, fontes específicas, animações ou outro conteúdo formatado. Além disso:

No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essas vulnerabilidades. O invasor também pode tentar comprometer um site para que ele exiba uma página da Web com conteúdo mal-intencionado. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor terá que atraí-los para o site, normalmente fazendo com que os usuários cliquem em um link para esse site.

O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário local. Os usuários cujas contas são configuradas com menos privilégios no sistema correm menos riscos do que aqueles que possuem privilégios administrativos.

Por padrão, o Microsoft Outlook Express 6, o Outlook 2000, o Outlook 2002 e o Outlook 2003 abrem mensagens de email em HTML na zona de sites restritos. O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado. A zona de sites restritos ajuda a reduzir os ataques que poderiam tentar explorar essa vulnerabilidade.

O risco de ataque a partir do vetor de email em HTML pode ser reduzido consideravelmente se você atender a estas condições:

Por padrão, o Internet Explorer no Windows Server 2003 é executado em um modo restrito, conhecido como Configuração de Segurança Avançada. Esse modo atenua a vulnerabilidade. Consulte a seção de perguntas freqüentes desta atualização de segurança para obter mais informações sobre a configuração de segurança avançada do Internet Explorer.

O Windows XP Service Pack 2 introduziu um aperfeiçoamento de segurança conhecido como bloqueio de zona de máquina local. Este aperfeiçoamento de segurança atenua essa vulnerabilidade. Consulte a seção de perguntas freqüentes desta atualização de segurança para obter mais informações sobre o bloqueio de zona de máquina local.

O Windows XP Service Pack 2 introduziu um novo contexto de segurança em todos os objetos de scripts visando bloquear o acesso a objetos armazenados em cache (exceto controles ActiveX). Além de bloquear o acesso na navegação entre domínios, o acesso também é bloqueado na navegação dentro do mesmo domínio. Nesse contexto, o domínio é definido como um nome de domínio totalmente qualificado, ou FQDN. A referência a um objeto não será mais acessível depois que o contexto tiver sido alterado devido à navegação. Para obter mais informações sobre o cache de objetos do Internet Explorer no Windows XP Service Pack 2, consulte a documentação do produto.

Defina a zona de segurança da Internet e da Intranet local como “Alto” para ser notificado antes que controles ActiveX e scripts ativos sejam executados nessas zonas.

Você pode ajudar na proteção contra essa vulnerabilidade alterando as configurações para que a zona de segurança da Internet solicite uma confirmação antes de executar controles ActiveX e scripts ativos. É possível fazer isso configurando a segurança do navegador em Alto.

Para aumentar o nível de segurança da navegação no Microsoft Internet Explorer, faça o seguinte:

Observação Se o controle deslizante não estiver visível, clique em Nível padrão e mova o controle deslizante para Alto.

Observação: a configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança alta.

Você também pode alterar suas configurações para ser notificado apenas antes da execução de controles ActiveX. Para isso, siga estas etapas:

Impacto da solução alternativa: há efeitos colaterais para notificação antes da execução de controles ActiveX. Muitos sites que não estão na Internet ou na intranet usam o ActiveX para fornecer funcionalidade adicional. Por exemplo, um site de comércio eletrônico ou bancário online pode usar controles ActiveX para fornecer menus, formulários de pedidos ou até mesmo extratos de contas. A notificação antes da execução dos controles ActiveX é uma configuração global que afeta todos os sites da Internet e da Intranet. Você será notificado freqüentemente quando ativar essa solução alternativa. Em cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os controles ActiveX. Se você não deseja ser notificado para todos esses sites, use a solução alternativa “Restringir sites a apenas sites confiáveis”.

Restringir sites a apenas sites confiáveis.

Depois de definir o Internet Explorer para solicitar confirmação antes de executar controles ActiveX e scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

Para isso, siga estas etapas:

Adicione os sites que você considerar que não tenham ação mal-intencionada ao seu computador. Um site, em especial, que convém adicionar é “*.windowsupdate.microsoft.com” (sem as aspas). Este é o site que hospedará a atualização. Ele exige um controle ActiveX para instalar a atualização.

Instale a atualização descrita no Boletim de Segurança da Microsoft MS04-018 se você estiver usando o Outlook Express 5.5 SP2.

O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado.

Os clientes que utilizam qualquer um desses produtos correm menor risco de um ataque originado por um email que tente explorar essa vulnerabilidade, a menos que o usuário clique em um link mal-intencionado no email.

Se você estiver usando o Outlook 2002 ou posterior ou o Outlook Express 6 SP1 ou posterior, leia as mensagens de email no formato de texto sem formatação. Isso ajudará você a se proteger contra o vetor de ataque de email em HTML.

Os usuários do Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1, podem habilitar essa configuração e exibir todas as mensagens de e-mail assinadas de forma não digital ou não criptografadas somente como texto sem formatação.

Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o artigo 307594 do Microsoft Knowledge Base.

Para obter informações sobre essa configuração no Outlook Express 6, consulte o artigo 291387 (em inglês) do Microsoft Knowledge Base.

Impacto da solução alternativa: as mensagens de email exibidas no formato de texto sem formatação não conterão figuras, fontes específicas, animações ou outro conteúdo formatado. Além disso:

O nível de segurança para a zona da Internet é definido como Alto. Essa configuração desabilita scripts, controles ActiveX, conteúdo em HTML da MSJVM (Microsoft Java Virtual Machine - máquina virtual da Microsoft) e downloads de arquivos.

A detecção automática de sites da intranet é desabilitada. Essa definição atribui todos os sites da intranet e todos os caminhos de UNC (Convenção universal de nomenclatura), que não estão listados explicitamente na zona de intranet local, para a zona da Internet.

A instalação de extensões de navegador que não são da Microsoft e sob demanda são desabilitadas. Essa definição evita que páginas da Web instalem componentes, automaticamente, e evita a execução de extensões que não são da Microsoft.

O conteúdo de multimídia é desabilitado. Essa definição evita a execução de música, animações e clipes de vídeo.