Boletim de Segurança da Microsoft MS05-020

No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essas vulnerabilidades. Um invasor também pode tentar comprometer um site e fazê-lo exibir conteúdo mal intencionado. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor terá que atraí-los para o site, normalmente fazendo com que os usuários cliquem em um link para esse site.

O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário local. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

Por padrão, o Outlook Express 6, o Outlook 2002 e o Outlook 2003 abrem mensagens de email em HTML na zona de Sites restritos. Além disso, o Outlook 2000 abre mensagens de e-mail em HTML na zona de Sites restritos se a Atualização de Segurança do E-mail do Outlook estiver instalada. O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado. A zona de sites restritos ajuda a reduzir os ataques que poderiam tentar explorar essa vulnerabilidade.

O risco de ataque a partir do vetor de email em HTML pode ser reduzido consideravelmente se você atender a estas condições:

A vulnerabilidade não pode ser explorada automaticamente por email. Para que um ataque seja bem sucedido, um usuário deve abrir um anexo enviado em uma mensagem de email ou clicar em um link em uma mensagem de email.

Por padrão, o Internet Explorer no Windows Server 2003 é executado em um modo restrito, conhecido como Configuração de Segurança Avançada. Esse modo atenua a vulnerabilidade. Consulte a seção Perguntas Freqüentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Avançada do Internet Explorer.

Defina a configuração de zona de segurança da Internet e da Intranet local como “Alto” para poder confirmar a execução de controles ActiveX nessas zonas.

Você pode ajudar na proteção contra essa vulnerabilidade alterando as configurações para que a zona de segurança da Internet solicite uma confirmação antes de executar scripts ativos. É possível fazer isso configurando a segurança do navegador em Alto.

Para aumentar o nível de segurança da navegação no Microsoft Internet Explorer, faça o seguinte:

Observação Se o controle deslizante não estiver visível, clique em Nível padrão e mova o controle deslizante para Alto.

Observação: a configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança alta. Consulte a solução alternativa “Restringir sites a apenas sites confiáveis” para obter informações sobre como você pode adicionar sites à zona Sites confiáveis.

Opcionalmente, você pode alterar as configurações para notificar somente a execução de scripts ativos. Para isso, siga estas etapas:

Impacto da solução alternativa: a notificação antes da execução de scripts ativos apresenta efeitos colaterais. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado freqüentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se você não deseja ser notificado para todos esses sites, use a solução alternativa “Restringir sites a apenas sites confiáveis”.

Restringir sites a apenas sites confiáveis.

Depois de definir o Internet Explorer para solicitar confirmação antes de executar scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

Para isso, siga estas etapas:

Adicione os sites que você considerar que não tenham ação mal-intencionada ao seu computador. Um site, em especial, que convém adicionar é “*.windowsupdate.microsoft.com” (sem as aspas). Este é o site que hospedará a atualização. Ele exige um controle ActiveX para instalar a atualização.

Instale a atualização descrita no Boletim de Segurança da Microsoft MS04-018 se você estiver usando o Outlook Express 5.5 SP2.

O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado.

Os clientes que utilizam um ou mais desses produtos correm menor risco de um ataque originado por um email que tente explorar essa vulnerabilidade, a menos que o usuário clique em um link mal-intencionado no email.

Se você estiver usando o Outlook 2002 ou posterior ou o Outlook Express 6 SP1 ou posterior, leia as mensagens de email no formato de texto sem formatação. Isso ajudará você a se proteger contra o vetor de ataque de email em HTML.

Os usuários do Microsoft Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir todas as mensagens de email sem assinatura digital ou não criptografadas somente como texto simples.

Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o artigo 307594 do Microsoft Knowledge Base.

Para obter informações sobre essa configuração no Outlook Express 6, consulte o artigo 291387 (em inglês) do Microsoft Knowledge Base.

Impacto da solução alternativa: as mensagens de email exibidas no formato de texto sem formatação não conterão figuras, fontes específicas, animações ou outro conteúdo formatado. Além disso:

O nível de segurança para a zona da Internet é definido como Alto. Esta configuração desabilita scripts, controles ActiveX conteúdo da MSJVM (Microsoft Java Virtual Machine - máquina virtual da Microsoft) e downloads de arquivos.

A detecção automática de sites da intranet é desabilitada. Essa definição atribui todos os sites da intranet e todos os caminhos de UNC (Convenção universal de nomenclatura), que não estão listados explicitamente na zona de intranet local, para a zona da Internet.

A instalação de extensões de navegador que não são da Microsoft e sob demanda são desabilitadas. Essa definição evita que páginas da Web instalem componentes, automaticamente, e evita a execução de extensões que não são da Microsoft.

O conteúdo de multimídia é desabilitado. Essa definição evita a execução de música, animações e clipes de vídeo.

No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essas vulnerabilidades. Um invasor também pode tentar comprometer um site e fazê-lo exibir conteúdo mal intencionado. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor terá que atraí-los para o site, normalmente fazendo com que os usuários cliquem em um link para esse site.

O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário local. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

Por padrão, o Outlook Express 6, o Outlook 2002 e o Outlook 2003 abrem mensagens de email em HTML na zona de Sites restritos. Além disso, o Outlook 2000 abre mensagens de e-mail em HTML na zona de Sites restritos se a Atualização de Segurança do E-mail do Outlook estiver instalada. O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado. A zona de sites restritos ajuda a reduzir os ataques que poderiam tentar explorar essa vulnerabilidade.

O risco de ataque a partir do vetor de email em HTML pode ser reduzido consideravelmente se você atender a estas condições:

A vulnerabilidade não pode ser explorada automaticamente por email. Para que um ataque seja bem sucedido, um usuário deve clicar em um link mal intencionado enviado em uma mensagem de email.

Defina a configuração de zona de segurança da Internet e da Intranet local como “Alto” para poder confirmar a execução de controles ActiveX nessas zonas.

Você pode ajudar na proteção contra essa vulnerabilidade alterando as configurações para que a zona de segurança da Internet solicite uma confirmação antes de executar scripts ativos. É possível fazer isso configurando a segurança do navegador em Alto.

Observação esta solução alternativa fornece proteção limitada e há vetores de ataque conhecidos que não contam com scripts ativos.

Para aumentar o nível de segurança da navegação no Microsoft Internet Explorer, faça o seguinte:

Observação Se o controle deslizante não estiver visível, clique em Nível padrão e mova o controle deslizante para Alto.

Observação: a configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança alta.

Opcionalmente, você pode alterar as configurações para notificar somente a execução de scripts ativos. Para isso, siga estas etapas:

Impacto da solução alternativa: a notificação antes da execução de scripts ativos apresenta efeitos colaterais. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado freqüentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se você não deseja ser notificado para todos esses sites, use a solução alternativa “Restringir sites a apenas sites confiáveis”.

Restringir sites a apenas sites confiáveis.

Depois de definir o Internet Explorer para solicitar confirmação antes de executar scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

Para isso, siga estas etapas:

Adicione os sites que você considerar que não tenham ação mal-intencionada ao seu computador. Um site, em especial, que convém adicionar é “*.windowsupdate.microsoft.com” (sem as aspas). Este é o site que hospedará a atualização. Ele exige um controle ActiveX para instalar a atualização.

Instale a atualização descrita no Boletim de Segurança da Microsoft MS04-018 se você estiver usando o Outlook Express 5.5 SP2.

O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado.

Os clientes que utilizam um ou mais desses produtos correm menor risco de um ataque originado por um email que tente explorar essa vulnerabilidade, a menos que o usuário clique em um link mal-intencionado no email.

Se você estiver usando o Outlook 2002 ou posterior ou o Outlook Express 6 SP1 ou posterior, leia as mensagens de email no formato de texto sem formatação. Isso ajudará você a se proteger contra o vetor de ataque de email em HTML.

Os usuários do Microsoft Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir todas as mensagens de email sem assinatura digital ou não criptografadas somente como texto simples.

Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o artigo 307594 do Microsoft Knowledge Base.

Para obter informações sobre essa configuração no Outlook Express 6, consulte o artigo 291387 (em inglês) do Microsoft Knowledge Base.

Impacto da solução alternativa: as mensagens de email exibidas no formato de texto sem formatação não conterão figuras, fontes específicas, animações ou outro conteúdo formatado. Além disso:

No cenário de ataque na Web, o invasor terá que hospedar um site contendo uma página da Web usada para explorar essas vulnerabilidades. Um invasor também pode tentar comprometer um site e fazê-lo exibir conteúdo mal intencionado. Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, o invasor terá que atraí-los para o site, normalmente fazendo com que os usuários cliquem em um link para esse site. Um usuário terá que clicar em várias janelas de instalação do Supervisor de conteúdo para que um ataque seja bem-sucedido.

O invasor que explorar com êxito a vulnerabilidade poderá obter os mesmos direitos que o usuário local. Os usuários cujas contas são configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles que possuem direitos administrativos.

Por padrão, o Outlook Express 6, o Outlook 2002 e o Outlook 2003 abrem mensagens de email em HTML na zona de Sites restritos. Além disso, o Outlook 2000 abre mensagens de e-mail em HTML na zona de Sites restritos se a Atualização de Segurança do E-mail do Outlook estiver instalada. O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado. A zona de sites restritos ajuda a reduzir os ataques que poderiam tentar explorar essa vulnerabilidade.

O risco de ataque a partir do vetor de email em HTML pode ser reduzido consideravelmente se você atender a estas condições:

A vulnerabilidade não pode ser explorada automaticamente por email. Para que um ataque seja bem-sucedido, um usuário deve abrir um anexo comprometido enviado em uma mensagem de email e clicar em várias janelas de instalação do Supervisor de conteúdo.

Não abra nem salve os arquivos de classificação de conteúdo (arquivos .rat) recebidos de fontes não confiáveis.

Essa vulnerabilidade pode ser explorada quando o usuário instala um arquivo .rat. Não abra os arquivos que usem essa extensão de arquivo.

Ajuda a evitar ataques por email bloqueando arquivos de classificação de conteúdo (arquivos .rat).

Essa vulnerabilidade pode ser explorada quando o usuário instala um arquivo .rat. Para ajudar a bloquear esses arquivos usando o Outlook e o Outlook Express, consulte o Artigo 837388 do Microsoft Knowledge Base e o Artigo 291387 do Microsoft Knowledge Base. Os clientes corporativos devem considerar a inclusão dos arquivos de classificação de conteúdo (arquivos .rat) à lista de arquivos não confiáveis que são bloqueados pelos filtros de email dos gateways corporativos.

Defina a configuração de zona de segurança da Internet e da Intranet local como “Alto” para poder confirmar a execução de controles ActiveX nessas zonas.

Você pode ajudar na proteção contra essa vulnerabilidade alterando as configurações para que a zona de segurança da Internet solicite uma confirmação antes de executar scripts ativos. É possível fazer isso configurando a segurança do navegador em Alto.

Para aumentar o nível de segurança da navegação no Microsoft Internet Explorer, faça o seguinte:

Observação Se o controle deslizante não estiver visível, clique em Nível padrão e mova o controle deslizante para Alto.

Observação: a configuração do nível como Alto pode fazer com que alguns sites não funcionem corretamente. Se você encontrar dificuldades ao usar um site, após alterar a configuração e tiver certeza de que o site é seguro, é possível adicionar esse site à lista de sites confiáveis. Isso permite que o site funcione corretamente, mesmo com a configuração de segurança alta.

Opcionalmente, você pode alterar as configurações para notificar somente a execução de scripts ativos. Para isso, siga estas etapas:

Impacto da solução alternativa: a notificação antes da execução de scripts ativos apresenta efeitos colaterais. Muitos sites que não estão na Internet ou na intranet usam scripts ativos para fornecer funcionalidade adicional. A notificação antes da execução dos scripts ativos é uma configuração global que afeta todos os sites da Internet e da intranet. Você será notificado freqüentemente quando ativar essa solução alternativa. Para cada notificação, se achar que confia no site que está visitando, clique em Sim para executar os scripts ativos. Se você não deseja ser notificado para todos esses sites, use a solução alternativa “Restringir sites a apenas sites confiáveis”.

Restringir sites a apenas sites confiáveis.

Depois de definir o Internet Explorer para solicitar confirmação antes de executar scripts ativos na zona da Internet e da Intranet local, você pode adicionar sites confiáveis à zona de sites confiáveis do Internet Explorer. Isso permitirá que você continue usando os sites confiáveis exatamente como faz atualmente, enquanto ajuda a proteger-se de ataques em sites não confiáveis. É recomendável adicionar somente sites nos quais você confia à zona de Sites confiáveis.

Para isso, siga estas etapas:

Adicione os sites que você considerar que não tenham ação mal-intencionada ao seu computador. Um site, em especial, que convém adicionar é “*.windowsupdate.microsoft.com” (sem as aspas). Este é o site que hospedará a atualização. Ele exige um controle ActiveX para instalar a atualização.

Instale a atualização descrita no Boletim de Segurança da Microsoft MS04-018 se você estiver usando o Outlook Express 5.5 SP2.

O Outlook Express 5.5 Service Pack 2 abrirá mensagens de e-mail em HTML na zona Sites Restritos se o Boletim de Segurança MS04-018 da Microsoft estiver instalado.

Os clientes que utilizam um ou mais desses produtos correm menor risco de um ataque originado por um email que tente explorar essa vulnerabilidade, a menos que o usuário clique em um link mal-intencionado no email.

Se você estiver usando o Outlook 2002 ou posterior ou o Outlook Express 6 SP1 ou posterior, leia as mensagens de email no formato de texto sem formatação. Isso ajudará você a se proteger contra o vetor de ataque de email em HTML.

Os usuários do Microsoft Outlook 2002 que aplicaram o Office XP Service Pack 1 ou posterior, e os usuários do Microsoft Outlook Express 6 que aplicaram o Internet Explorer 6 Service Pack 1 ou posterior, podem habilitar essa configuração e exibir todas as mensagens de email sem assinatura digital ou não criptografadas somente como texto simples.

Mensagens de email assinadas digitalmente ou criptografadas não são afetadas por essa configuração e podem ser lidas em seus formatos originais. Para obter mais informações sobre como habilitar essa configuração no Outlook 2002, consulte o artigo 307594 do Microsoft Knowledge Base.

Para obter informações sobre essa configuração no Outlook Express 6, consulte o artigo 291387 (em inglês) do Microsoft Knowledge Base.

Impacto da solução alternativa: as mensagens de email exibidas no formato de texto sem formatação não conterão figuras, fontes específicas, animações ou outro conteúdo formatado. Além disso: