Este alerta tem por objetivo fornecer uma visão geral do novo Boletim de Segurança (fora do ciclo mensal) disponibilizado em 28 de Setembro de 2010.

 

Novo Boletim de Segurança

 

A Microsoft está disponibilizando 1 novo boletim de segurança (fora do ciclo mensal) para vulnerabilidades recém-descobertas:

 

Número do Boletim

Título do Boletim

Severidade Máxima

Impacto da Vulnerabilidade

Necessidade de reinicialização

Software Afetados

MS10-070

Vulnerabilidade no ASP.NET Pode Permitir Revelação de Informações (2418042)

Importante

Revelação de Informações

Pode exigir reinicialização

Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2.

Nota: A lista de softwares afetados na tabela é um resumo. Leia a seção "Softwares Afetados" do boletim no link abaixo na coluna à esquerda para mais detalhes.

 

Sumário Executivo

 

Esta atualização de segurança soluciona uma vulnerabilidade relatada de forma pública no serviço ASP.NET. A vulnerabilidade pode permitir a revelação de informações. Um intruso que conseguir explorar esta vulnerabilidade pode ler dados, tais como o estado de exibição, que é criptografado pelo servidor. Esta vulnerabilidade também pode ser usada para violação de dados que, se bem-sucedida, poderia ser usada para descriptografar e violar dados criptografados pelo servidor. As versões do Microsoft .NET Framework anteriores ao Microsoft .NET Framework 3.5 Service Pack 1 não foram afetadas pela parte de revelação de conteúdo de arquivos desta vulnerabilidade.

 

Esta atualização de segurança foi classificada como Importante para todas as edições suportadas do ASP.NET, exceto para o Microsoft .NET Framework 1.0 Service Pack 3. A atualização de segurança trata da vulnerabilidade ao sinalizar todos os dados criptografados pelo ASP.NET.

 

A atualização de segurança também soluciona a vulnerabilidade descrita inicialmente no Comunicado de Segurança Microsoft 2416728.

 

Webcast Público SOBRE O Boletim

 

A Microsoft realizará um Webcast (em inglês) para solucionar as dúvidas dos clientes sobre este boletim:

Título: Informações sobre o Boletim de Segurança Microsoft (Nível 200) de Setembro de 2010 (OOB)

Data: Terça-feira, 28 de setembro de 2010, 01:00:00 P.M. Horário Pacífico – 17:00hrs no Brasil

URL: https://msevents.microsoft.com/CUI/WebCastEventDetails.aspx?culture=en-US&EventID=1032464130.

 

RECURSOS PÚBLICOS RELACIONADOS A ESTE ALERTA

 

·         Boletim de Segurança MS10-070 - Vulnerabilidade no ASP.NET Pode Permitir Revelação de Informações (2418042): http://www.microsoft.com/brasil/technet/security/bulletin/MS10-070.mspx.

 

·         Comunicado de Segurança 2416728 - Vulnerabilidade no ASP.NET Pode Permitir Revelação de Informações:  http://www.microsoft.com/brasil/technet/security/advisory/2416728.mspx   

·         Blog do Microsoft Security Response Center (MSRC): http://blogs.technet.com/msrc/

 

·         Blog do Microsoft Security Research & Defense (SRD): http://blogs.technet.com/srd/

 

·         Blog do Microsoft Malware Protection Center (MMPC): http://blogs.technet.com/mmpc/

 

Detalhes Técnicos SOBRE O Boletim de Segurança

 

Na tabela a seguir são detalhados os softwares afetados e não afetados. As edições de software não listadas não possuem suporte. Para determinar o ciclo de vida de suporte de seu produto ou edição acesse (digite em seu browser): http://support.microsoft.com/lifecycle/.

 

Identificador do Boletim

Boletim de Segurança Microsoft MS10-070

Título do Boletim

Vulnerabilidade no ASP.NET Pode Permitir Revelação de Informações (2418042)

Sumário Executivo

Esta atualização de segurança soluciona uma vulnerabilidade relatada de forma pública no serviço ASP.NET. A vulnerabilidade poderia permitir a revelação de informações. Um intruso que consiga explorar esta vulnerabilidade poderia ler dados, tais como o estado de exibição, que é criptografado pelo servidor. Esta vulnerabilidade também pode ser usada para violação de dados que, se bem-sucedida, poderia ser usada para descriptografar e violar dados criptografados pelo servidor.

 

Note que esta vulnerabilidade não permitiria a um intruso executar códigos e elevar os direitos de usuário diretamente, mas poderia ser usada para produzir informações que, por sua vez, poderiam ser usadas para tentar comprometer ainda mais o sistema afetado. No Microsoft .NET Framework 3.5 Service Pack 1 e em versões mais recentes, esta vulnerabilidade também poderia ser usada pelo intruso para recuperar o conteúdo de algum arquivo na aplicação ASP.NET, incluindo web.config.

 

A atualização de segurança trata da vulnerabilidade ao sinalizar todos os dados criptografados pelo ASP.NET.

Níveis de Severidade e Softwares Afetados

Esta atualização de segurança foi classificada como Importante em todas as edições suportadas do ASP.NET, exceto no Microsoft .NET Framework 1.0 Service Pack 3.

CVE

CVE-2010-3332 - Vulnerabilidade do ASP.NET no Oracle

Vetores de Ataque

Para explorar esta vulnerabilidade, um intruso poderia enviar um texto via Web solicitando a um servidor afetado determinar se o texto havia sido descriptografado corretamente examinando o código de erro retornado pelo site. Um intruso que tenha feito várias solicitações como essa poderia obter um número suficiente de informações para ler ou violar os dados criptografados.

 

Fatores de Mitigação

As versões do Microsoft .NET Framework anteriores ao Microsoft .NET Framework 3.5 Service Pack 1 não foram afetadas pela parte de revelação de conteúdo de arquivos desta vulnerabilidade.

 

Soluções Alternativas

Habilitar uma regra de Filtragem de Solicitações ou UrlScan, habilitar erros personalizados e mapear todos os códigos de erro na mesma página de erro. Leia a seção "Soluções Alternativas" do boletim no link abaixo para mais detalhes.

Necessidade de reinicialização:

A atualização pode exigir a reinicialização.

Boletins Substituídos por Esta Atualização:

MS10-041 e MS09-036 para versões específicas do Microsoft .NET Framework sobre sistemas operacionais específicos. Leia a seção "Softwares Afetados" do boletim no link abaixo para mais detalhes.

Status do Exploit:

Status do Exploit:

Sim - esta vulnerabilidade foi divulgada publicamente antes da correção. Encontre mais informações no Comunicado de Segurança Microsoft 2416728. Esta vulnerabilidade foi explorada antes da correção.

Mais Detalhes

http://www.microsoft.com/brasil/technet/security/bulletin/MS10-070.mspx.