Boletim de Segurança da Microsoft MS07-017

Não identificamos nenhuma solução alternativa para esta vulnerabilidade.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de elevação de privilégio (site em inglês). O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Para tentar explorar a vulnerabilidade, o invasor precisa fazer logon localmente no sistema e executar um programa.

O que provoca a vulnerabilidade? 
A vulnerabilidade é causada pelo tratamento incorreto da memória reservada para o kernel do Windows pelo mecanismo de processamento de elementos gráficos do Windows ao processar os tipos de arquivo WMF e EMF.

Para que um invasor pode usar a vulnerabilidade? 
O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total do sistema afetado.

De que forma o invasor pode explorar a vulnerabilidade? 
Para explorar essa vulnerabilidade, primeiro o invasor precisa fazer logon no sistema. Um invasor poderia tentar executar um programa que fosse executado como um usuário normal e poderia explorar a vulnerabilidade e assumir o controle completo do sistema afetado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Estações de trabalho são as que mais correm risco com essa vulnerabilidade. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

A vulnerabilidade pode ser explorada pela Internet? 
Não. O invasor precisa fazer logon no sistema específico que é alvo do ataque. O invasor não pode carregar e executar um programa remotamente usando essa vulnerabilidade.

O que a atualização faz? 
A atualização elimina a vulnerabilidade modificando o modo como o identificador é criado.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente? 
Sim. Embora o relatório inicial tenha sido fornecido por divulgação responsável, a vulnerabilidade mais tarde foi divulgada publicamente pelo mesmo pesquisador de segurança. Ela recebeu o número CVE-2006-5758 da lista Common Vulnerability and Exposure. Além disso, foi denominada Vulnerabilidade de elevação de privilégio local do kernel da GDI por grande parte da comunidade de segurança. Este boletim de segurança trata a vulnerabilidade publicamente exposta assim como problemas adicionais descobertos por investigações internas.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada? 
Não. A Microsoft viu exemplos de código de verificação de conceito divulgados publicamente, mas não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido usada publicamente para atacar clientes quando este boletim de segurança foi originalmente lançado.

A aplicação desta atualização de segurança ajuda a proteger os clientes contra o código divulgado publicamente que tenta explorar essa vulnerabilidade? 
Sim. Essa atualização de segurança elimina a vulnerabilidade que poderia ser explorada por meio do uso do código de verificação de conceito publicado. A vulnerabilidade abordada recebeu o número CVE-2006-5758 da lista Common Vulnerability and Exposure.

A Microsoft testou as seguintes soluções alternativas. Apesar de essas soluções alternativas não corrigirem a vulnerabilidade subjacente, elas ajudam a bloquear vetores de ataque conhecidos. Quando uma solução alternativa reduz a funcionalidade, ela é identificada na seção a seguir.

Qual é o escopo da vulnerabilidade?
Essa é uma vulnerabilidade de negação de serviço (site em inglês). O invasor que explorar essa vulnerabilidade poderá fazer com que o sistema afetado pare de responder e reinicie automaticamente. Observe que a vulnerabilidade de negação de serviço não permite que os invasores executem códigos nem elevem seus privilégios, mas pode fazer com que o programa afetado pare de aceitar solicitações.

O que provoca a vulnerabilidade?
A vulnerabilidade é causada por uma tentativa de leitura de um valor de dados que contém uma referência de memória inválida.

O que são formatos de imagem WMF (metarquivo do Windows)?
O formato de imagem WMF é um formato de metarquivo de 16 bits que pode conter informações sobre vetores e bitmap. Ela é otimizada para o sistema operacional Windows.

Para obter mais informações sobre os tipos e formatos de imagem, consulte o artigo 320314 do Microsoft Knowledge Base. Informações adicionais sobre esses formatos de arquivo também estão disponíveis no site MSDN Library.

Para que um invasor pode usar a vulnerabilidade?
O invasor que explorar essa vulnerabilidade com êxito poderá fazer com que o sistema afetado pare de responder e possivelmente reinicie automaticamente.

Quem pode explorar a vulnerabilidade?
Em um cenário de ataque com base na Web, um invasor terá que hospedar um site que contenha uma página da Web usada para tentar explorar essa vulnerabilidade. Não há como um invasor forçar usuários a visitar o site especialmente criado. Em vez disso, o invasor terá que convencê-los a visitar o site, normalmente fazendo com que cliquem em um link que leve para esse site. Também é possível exibir conteúdo da Web próprio para a finalidade usando anúncios de banner ou outros métodos para implantar conteúdo da Web nos sistemas afetados.

De que forma o invasor pode explorar essa vulnerabilidade?
A vulnerabilidade pode ser explorada nos sistemas afetados por um invasor que convença um usuário a abrir um arquivo específico ou a exibir uma pasta que contenha uma determinada imagem. Não há como um invasor forçar um usuário a abrir um arquivo específico, exceto através da visualização de uma mensagem de email.

Quais são os sistemas que mais correm riscos com a vulnerabilidade?  
Principalmente as estações de trabalho e os servidores de terminal estão correndo risco. Os servidores correrão mais risco se usuários que não tiverem permissões administrativas suficientes puderem fazer logon nos servidores e executar programas ou navegar a Internet. Entretanto, as práticas recomendadas não recomendam esse procedimento.

Estou executando o Internet Explorer no Windows Server 2003. Isso atenua essa vulnerabilidade?
Sim. Por padrão, o Internet Explorer no Windows Server 2003 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo define o nível de segurança para a zona da Internet como Alto. Este é um fator atenuante para sites que não tenham sido adicionados à zona Sites confiáveis do Internet Explorer.

O que é a Configuração de Segurança Reforçada do Internet Explorer?
A Configuração de Segurança Reforçada do Internet Explorer é um grupo de configurações predefinidas do Internet Explorer que reduz a probabilidade de um usuário ou administrador baixar e executar, em um servidor, conteúdo da Web especialmente criado. A Configuração de Segurança Reforçada do Internet Explorer reduz o risco, modificando várias configurações referentes à segurança. Isso inclui as configurações da guia Segurança e da guia Avançado na caixa de diálogo Opções da Internet. Algumas das importantes modificações incluem:

Para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer, consulte o guia Gerenciamento de Configurações de Segurança Avançadas do Internet Explorer neste site.

O que a atualização faz?
A atualização elimina a vulnerabilidade modificando a forma como o sistema operacional afetado verifica entradas de mensagens em determinadas circunstâncias.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?
Não. A Microsoft recebeu informações sobre essa vulnerabilidade por meio de divulgação responsável.

Não identificamos nenhuma atenuação para esta vulnerabilidade.

Não identificamos nenhuma solução alternativa para esta vulnerabilidade.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de elevação de privilégio (site em inglês). O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Para tentar explorar a vulnerabilidade, o invasor precisa fazer logon localmente no sistema e executar um programa.

O que provoca a vulnerabilidade? 
Um buffer sem verificação na GDI ao processar arquivos de formato de imagem EMF (metarquivo avançado).

O que é o formato de imagem Metarquivo Avançado (EMF)? 
O formato de imagem EMF é um formato de 32 bits que contém tanto informações de vetores quanto de bitmap.

Para obter mais informações sobre os tipos e formatos de imagem, consulte o artigo 320314 do Microsoft Knowledge Base. Informações adicionais sobre esses formatos de arquivo também estão disponíveis no site MSDN Library.

Para que um invasor pode usar a vulnerabilidade?
O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total do sistema afetado.

De que forma o invasor pode explorar a vulnerabilidade? 
Para explorar essa vulnerabilidade, primeiro o invasor precisa fazer logon no sistema. Um invasor poderia tentar executar um programa que fosse executado como um usuário normal e poderia explorar a vulnerabilidade e assumir o controle completo do sistema afetado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Estações de trabalho são as que mais correm risco com essa vulnerabilidade. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

A vulnerabilidade pode ser explorada pela Internet? 
Não. O invasor precisa fazer logon no sistema específico que é alvo do ataque. O invasor não pode carregar e executar um programa remotamente usando essa vulnerabilidade.

O que a atualização faz?
A atualização elimina a vulnerabilidade modificando o modo como as versões do sistema operacional afetado validam o tamanho de uma mensagem antes de transmiti-la ao buffer alocado.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?
Não. A Microsoft recebeu informações sobre essa vulnerabilidade por meio de divulgação responsável.

O invasor precisa conseguir fazer logon localmente para explorar esta vulnerabilidade. Essa vulnerabilidade não pode ser explorada remotamente por usuários anônimos.

Não identificamos nenhuma solução alternativa para esta vulnerabilidade.

Qual é o escopo da vulnerabilidade?
Essa é uma vulnerabilidade de elevação de privilégio (site em inglês). O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Para tentar explorar a vulnerabilidade, o invasor precisa fazer logon localmente no sistema e executar um programa.

O que provoca a vulnerabilidade?
A vulnerabilidade é causada pelo processamento de tamanhos inválidos de janelas de aplicativo.

O que é a GDI (Graphics Device Interface)?
A GDI (Graphics Device Interface) do Microsoft Windows permite que aplicativos usem elementos gráficos e texto formatado tanto na exposição de vídeo quanto na impressora. Os aplicativos baseados no Windows não acessam o hardware para elementos gráficos diretamente. Em vez disso, a GDI interage com os drivers dos dispositivos em nome dos aplicativos. Para obter mais informações sobre a GDI, consulte o seguinte artigo do MSDN.

Para que um invasor pode usar a vulnerabilidade?
O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total do sistema afetado.

De que forma o invasor pode explorar a vulnerabilidade?
Um invasor pode tentar explorar a vulnerabilidade criando um aplicativo especialmente desenvolvido e executando-o no sistema afetado. O aplicativo pode criar uma série de janelas em camadas que passe um parâmetro inválido. Desta maneira, um invasor sem privilégios pode obter o controle total do sistema afetado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?
Estações de trabalho são as que mais correm risco com essa vulnerabilidade. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

A vulnerabilidade pode ser explorada pela Internet?
Não. O invasor precisa fazer logon no sistema específico que é alvo do ataque. O invasor não pode carregar e executar um programa remotamente usando essa vulnerabilidade.

O que a atualização faz?
A atualização elimina a vulnerabilidade por verificar o tamanho da janela dos aplicativos antes de passar os dados ao buffer alocado

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?
A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido divulgada publicamente quando este boletim de segurança foi lançado pela primeira vez.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?
Não. A Microsoft não recebeu nenhuma informação indicando que essa vulnerabilidade tenha sido usada publicamente para atacar clientes e não testemunhou nenhum exemplo de publicação de código de verificação de conceito, quando este boletim de segurança foi lançado pela primeira vez.

A Microsoft testou as seguintes soluções alternativas. Apesar de essas soluções alternativas não corrigirem a vulnerabilidade subjacente, elas ajudam a bloquear vetores de ataque conhecidos. Quando uma solução alternativa reduz a funcionalidade, ela é identificada na seção a seguir.

Qual é o escopo da vulnerabilidade?
Essa é uma vulnerabilidade de execução remota de código. O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. Um invasor poderá instalar programas, além de visualizar, alterar ou excluir dados, ou ainda criar novas contas com privilégios totais. Os usuários cujas contas são configuradas com poucos privilégios no sistema correm menos riscos do que aqueles que possuem privilégios administrativos.

O que são cursores animados?
Cursores animados são um recurso que permite que uma série de quadros seja exibida no local do ponteiro do mouse em vez de uma única imagem. O recurso Cursores Animados é designado pelo sufixo .ani.

Se eu bloquear arquivos que usam a extensão de nome de arquivo .ani, isso pode me proteger contra tentativas de explorar essa vulnerabilidade? 
Não. A vulnerabilidade não se restringe à extensão de arquivo .ani. Tipos de arquivo de imagem adicionais podem ser usados para explorar a vulnerabilidade.

O que provoca a vulnerabilidade?
A vulnerabilidade existe no modo como o Windows executa a validação de formato antes de lidar com cursores, cursores animados e ícones.

Para que um invasor pode usar a vulnerabilidade?
O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total do sistema afetado.

De que forma o invasor pode explorar a vulnerabilidade?  
Um invasor pode explorar a vulnerabilidade criando uma página da Web especialmente desenvolvida. Ele também pode criar uma mensagem de email específica e enviá-la a um sistema afetado. Quando você exibe uma página da Web, visualiza ou lê uma mensagem especialmente criada, ou então abre um anexo de email especialmente criado, o invasor poderá fazer com que o sistema afetado execute código. Embora cursores animados geralmente estejam associados à extensão de arquivo .ani, um ataque bem-sucedido não está restrito a esse tipo de arquivo.

Quais são os sistemas que mais correm riscos com a vulnerabilidade?  
Principalmente as estações de trabalho e os servidores de terminal estão correndo risco. Os servidores correrão mais risco se usuários que não tiverem permissões administrativas suficientes puderem fazer logon nos servidores e executar programas ou navegar a Internet. Entretanto, as práticas recomendadas não recomendam esse procedimento.

O que a atualização faz?
A atualização remove a vulnerabilidade, modificando o modo como os formatos de cursores, cursores animados e ícones são validados antes do processamento.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?
Sim. Essa vulnerabilidade foi divulgada publicamente. Ela recebeu o número CVE-2007-0038 da lista Common Vulnerability and Exposure.

Quando este boletim de segurança foi lançado, a Microsoft tinha recebido algum relatório informando que essa vulnerabilidade estava sendo explorada?
Sim. Quando o boletim de segurança foi lançado, a Microsoft recebeu informações de que essa vulnerabilidade tinha sido explorada.

Qual é a resposta da Microsoft à disponibilidade de patches de terceiros para a vulnerabilidade do cursor animado?
A Microsoft recomenda que os clientes baixem e implantem a atualização de segurança associada a este boletim de segurança.

Como regra geral, é melhor obter atualizações de segurança para vulnerabilidade de software do fornecedor original do software. Com o software da Microsoft, a Microsoft revisa e testa cuidadosamente as atualizações de segurança para garantir que elas tenham uma alta qualidade e que foram completamente avaliadas para compatibilidade do aplicativo. Além disso, as atualizações de segurança da Microsoft são oferecidas simultaneamente em 23 idiomas para todas as versões afetadas do software.

A Microsoft não pode fornecer garantia semelhante para patches de segurança ou atenuações de terceiros independentes.

A aplicação desta atualização de segurança ajuda a proteger os clientes contra o código divulgado publicamente que tenta explorar essa vulnerabilidade?
Sim. Esta atualização de segurança elimina a vulnerabilidade que está sendo explorada ativamente. A vulnerabilidade abordada recebeu o número CVE-2007-0038 da lista Common Vulnerability and Exposure.

O invasor precisa ter credenciais de logon válidas e poder fazer logon localmente para explorar essa vulnerabilidade. Essa vulnerabilidade não pode ser explorada remotamente por usuários anônimos

Não identificamos nenhuma solução alternativa para esta vulnerabilidade.

Qual é o escopo da vulnerabilidade?
Essa é uma vulnerabilidade de elevação de privilégio local. O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. Um invasor com credenciais de logon válidas pode instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com os mesmos direitos de usuário do usuário conectado.

O que provoca a vulnerabilidade?
Quando um programa baseado no Windows processa tipos de imagem afetados, o programa passa parâmetros relacionados a cor a um buffer de memória não verificado na GDI.

O que é a GDI (Graphics Device Interface)?
A GDI (Graphics Device Interface) do Microsoft Windows permite que aplicativos usem elementos gráficos e texto formatado tanto na exposição de vídeo quanto na impressora. Os aplicativos baseados no Windows não acessam o hardware para elementos gráficos diretamente. Em vez disso, a GDI interage com os drivers dos dispositivos em nome dos aplicativos. Para obter mais informações sobre a GDI, consulte o seguinte artigo do MSDN.

Para que um invasor pode usar a vulnerabilidade?
O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total do sistema afetado.

De que forma o invasor pode explorar essa vulnerabilidade?
Qualquer programa que processa os tipos de imagem afetados pode estar vulnerável a esse ataque. Um invasor pode fazer logon localmente no sistema e então executar um programa específico capaz de explorar a vulnerabilidade.

Quais são os principais sistemas que correm riscos com a vulnerabilidade?
Principalmente as estações de trabalho e os servidores de terminal estão correndo risco. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas ou naveguem por páginas da Web. Entretanto, as práticas recomendadas não recomendam esse procedimento.

O que a atualização faz?
Ela elimina a vulnerabilidade alterando o modo como a GDI valida o tamanho dos dados antes de transmiti-los ao buffer alocado.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente?
Não. A Microsoft recebeu informações sobre essa vulnerabilidade por meio de divulgação responsável.

É mais provável que as tentativas de explorar essa vulnerabilidade resultem em uma condição de negação de serviço causada por uma reinicialização inesperada do sistema afetado, em vez de resultarem na elevação de privilégio local.

Não identificamos nenhuma solução alternativa para esta vulnerabilidade.

Qual é o escopo da vulnerabilidade? 
Essa é uma vulnerabilidade de elevação de privilégio local. O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total de um sistema afetado. Um invasor com credenciais de logon válidas pode instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.

O que provoca a vulnerabilidade? 
Ao processar fontes defeituosas ou modificadas, o rasterizador de fonte TrueType pode chamar um indicador de função não inicializado.

O que é o Rasterizador de fonte True Type? 
O Rasterizador de fonte True Type gera bitmaps de caracteres para telas e impressoras, conhecidos como dispositivos de rasterização.

Para que um invasor pode usar a vulnerabilidade? 
O invasor que explorar com êxito essa vulnerabilidade poderá assumir o controle total do sistema afetado.

Quem pode explorar a vulnerabilidade?  
Para tentar explorar a vulnerabilidade, o invasor precisa fazer logon localmente no sistema e executar um programa.

De que forma o invasor pode explorar a vulnerabilidade? 
Um invasor pode criar um aplicativo que usa uma fonte especialmente desenvolvida de tal forma que, quando o Rasterizador de fonte True Type tenta processar a fonte especialmente criada, o Rasterizador pode permitir que o invasor tenha total controle do sistema afetado.

Quais são os principais sistemas que correm riscos com a vulnerabilidade? 
Principalmente as estações de trabalho e os servidores de terminal estão correndo risco. Os servidores correm mais riscos se os administradores permitirem que os usuários façam logon em servidores e executem programas. Entretanto, as práticas recomendadas não recomendam esse procedimento.

O que a atualização faz? 
A atualização elimina a vulnerabilidade por alterar o modo como o Rasterizador de fonte True Type inicializa fontes True Type.

Quando esse boletim de segurança foi lançado, essa vulnerabilidade já tinha sido divulgada publicamente? 
Não. A Microsoft recebeu informações sobre essa vulnerabilidade por meio de divulgação responsável.