Atualização de segurança da Microsoft – Novembro de 2017

Em terça-feira, 14 de novembro de 2017, a Microsoft lançou novas atualizações de segurança que afetam os seguintes produtos da Microsoft:

Família de produtos Severidade máxima

Impacto máximo

Artigos da base de dados e/ou páginas de suporte associados
Windows 10 e Windows Server 2016 (incluindo o Microsoft Edge) Crítico

Execução remota de código

Windows 10 1709: 4048955; Windows 10 1703: 4048954; Windows 10 1607: 4048953; Windows 10 RTM: 4048956; Windows Server 2016: 4048953.
Windows 8.1 e Windows Server 2012 R2 Importante

Execução remota de código

Windows 8.1 e Windows Server 2012 R2: 4048961 (Apenas segurança) e 4048958 (Pacote cumulativo mensal).
Windows Server 2012 Importante

Execução remota de código

Windows Server 2012: 4048962 (Apenas segurança) e 4048959 (Pacote cumulativo mensal).
Windows RT 8.1 Importante

Execução remota de código

Windows RT 8.1: 4048958. Observação: as atualizações para o Windows RT 8.1 só estão disponíveis por meio do Windows Update.
Windows 7 e Windows Server 2008 R2 Importante

Execução remota de código

Windows 7 e Windows Server 2008 R2: 4048960 (Apenas segurança) e 4048957 (Pacote cumulativo mensal).
Windows Server 2008 Importante

Execução remota de código

As atualizações para o Windows Server 2008 não são oferecidas em uma atualização cumulativa ou em um pacote cumulativo. Os seguintes artigos fazem referência a uma versão do Windows Server 2008:

4046184, 4047211, 4048968, 4048970 e 4049164.

Internet Explorer Crítico

Execução remota de código

Internet Explorer 9: 4047206 (Pacote cumulativo do IE); Internet Explorer 10: 4047206 (Pacote cumulativo do IE) e 4048959 (Pacote cumulativo mensal); Internet Explorer 11 (cumulativo): 4047206; Internet Explorer 11 (Pacote cumulativo mensal): 4048957 e 4048958; Internet Explorer 11 (Atualização de segurança): 4041689, 4042895, 4048952, 4048953, 4048954, 4048955 e 4048956.
Software relacionado ao Microsoft Office Importante

Execução remota de código

O número de artigos da base de dados associados ao Microsoft Office para cada lançamento mensal de atualizações de segurança pode variar dependendo do número de CVEs e do número de componentes afetados. Os seguintes artigos da base de dados fazem referência a componentes do Office e relacionados ao Office: 2553204, 3162047, 4011197, 4011199, 4011205, 4011206, 4011220, 4011233, 4011242, 4011244, 4011245, 4011247, 4011250, 4011257, 4011262, 4011264, 4011265, 4011266, 4011267, 4011268, 4011270, 4011271 e 4011276.
SharePoint Enterprise Server 2016 e Project Server 2013 Moderada

Elevação de privilégio

Microsoft SharePoint Server 2016: 4011244; Microsoft Project Server 2013: 4011257
.NET Core e ASP.NET Core Importante

Elevação de privilégio

O .NET Core é uma plataforma de desenvolvimento para fins gerais mantida pela Microsoft e pela comunidade .NET no GitHub. O ASP.NET Core é uma estrutura de software livre de plataforma cruzada e alto desempenho para a criação de aplicativos modernos, baseados na nuvem e conectados à Internet.
ChakraCore Crítico

Execução remota de código

ChakraCore é a parte central do Chakra, o mecanismo JavaScript de alto desempenho que habilita aplicativos do Microsoft Edge e Windows escritos em HTML/CSS/JS. Mais informações estão disponíveis aqui: https://github.com/Microsoft/Cha​kraCore/wiki.
Adobe Flash Player Crítico

Execução remota de código

Atualizações de segurança para Adobe Flash Player: 4048951.

Visão geral da vulnerabilidade de segurança

Veja abaixo um resumo mostrando o número de vulnerabilidades solucionadas neste lançamento, discriminadas por produto/componente e por impacto.

Detalhes da vulnerabilidade (1)

RCE

EOP

ID

SFB

DOS

SPF

Divulgadas de forma pública

Exploração conhecida

CVSS máxima

Windows 10 1709

0

1

8

1

1

0

0

0

5,9

Windows 10 1703

0

1

8

1

1

0

0

0

5,9

Windows 10 1607 & Server 2016

0

1

8

1

1

0

0

0

5,9

Windows 10 RTM

0

1

8

1

1

0

0

0

5,9

Windows 8.1 e Server 2012 R2

0

1

8

0

1

0

0

0

5,9

Windows Server 2012

0

1

9

0

1

0

0

0

5,9

Windows 7 e Server 2008 R2

0

1

9

0

1

0

0

0

5,9

Windows Server 2008

0

1

8

0

1

0

0

0

5,9

Internet Explorer

9

0

3

0

0

0

2

0

7,5

Microsoft Edge

18

0

4

3

0

0

1

0

4,3

Office

4

1

0

1

0

0

0

0

NA (2)

SharePoint Enterprise Server 2016

e Project Server 2013

0

1

0

0

0

0

0

0

NA (2)

.NET Core e ASP.NET Core

0

1

1

0

1

0

1

0

NA (2)

ChakraCore

14

0

1

1

0

0

0

0

4,3

RCE = Execução Remota de Código | EOP = Elevação de Privilégio | ID = Divulgação de Informações Confidenciais
SFB = Bypass de Recurso de Segurança | DOS = Negação de Serviço | SPF = Falsificação

(1) Vulnerabilidades que sobrepõem componentes podem ser representadas mais de uma vez na tabela.

(2) No momento do lançamento, as pontuações de CVE só estavam disponíveis para o Windows, o Internet Explorer e o Microsoft Edge.

Guia de Atualizações de Segurança

O Guia de Atualizações de Segurança é nosso recurso recomendado para informações sobre atualizações de segurança. Você pode personalizar suas exibições e criar planilhas de softwares afetados, além de baixar dados por meio de uma API RESTful. Como lembrete, o Guia de Atualizações de Segurança agora substituiu formalmente as páginas de boletins de segurança tradicionais.

Portal do Guia de Atualizações de Segurança: https://aka.ms/securityupdateguide

Página da Web de perguntas frequentes sobre o Guia de Atualizações de Segurança: https://technet.microsoft.com/pt-br/security/mt791750

Detalhes de vulnerabilidade

Veja a seguir resumos de algumas das vulnerabilidades de segurança neste lançamento. Essas vulnerabilidades específicas foram selecionadas de um conjunto maior de vulnerabilidades no lançamento por um ou mais dos seguintes motivos: 1) Recebemos consultas sobre a vulnerabilidade; 2) a vulnerabilidade pode ter recebido atenção na imprensa especializada; ou 3) a vulnerabilidade tem impacto potencialmente maior do que outras no lançamento. Como não fornecemos resumos de todas as vulnerabilidades presentes do lançamento, você deve examinar o conteúdo no Guia de Atualizações de Segurança
para obter informações não fornecidas nesses resumos.

CVE-2017-11827 Vulnerabilidade de corrupção de memória do navegador da Microsoft
Sinopse Existe uma vulnerabilidade de execução remota de código na maneira como os navegadores da Microsoft manipulam objetos na memória. A vulnerabilidade pode corromper a memória de modo a permitir que um invasor execute código arbitrário no contexto do usuário atual. Um invasor que conseguir explorar as vulnerabilidades poderá obter os mesmos direitos que o usuário atual. Se o usuário atual estiver conectado com direitos de usuário administrativo, o invasor poderá assumir o controle do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. A atualização de segurança resolve a vulnerabilidade, modificando a maneira como os navegadores da Microsoft manipulam objetos na memória.
Vetores de ataque Um invasor pode hospedar um site especialmente criado para explorar a vulnerabilidade por meio de navegadores da Microsoft e depois convencer um usuário a visualizar esse site. O invasor pode tirar proveito de sites comprometidos ou de sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios, adicionando conteúdo especialmente criado para explorar a vulnerabilidade.
Fatores atenuantes Um invasor não teria como forçar os usuários a visualizar o conteúdo controlado por ele. Em vez disso, um invasor teria que convencer os usuários a realizarem uma ação não segura, geralmente por meio de atrativos em um email ou em uma mensagem instantânea, ou induzindo-os a abrir um anexo enviado por email.

Um invasor que conseguir explorar as vulnerabilidades poderá obter os mesmos direitos que o usuário atual. A configuração de contas de usuário com menos permissões reduziria o risco.

Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Internet Explorer e Microsoft Edge em todas as versões com suporte do Windows.
Impacto Execução remota de código
Gravidade Importante
Divulgado de forma pública? Sim
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 1 – Probabilidade maior de exploração
Avaliação de capacidade de exploração – Herdada: 1 – Probabilidade maior de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2017-11827
CVE-2017-11848 Vulnerabilidade de divulgação de informação do Internet Explorer
Sinopse Existe uma vulnerabilidade de divulgação não autorizada de informações quando o Internet Explorer administra incorretamente o conteúdo da página, o que pode permitir que um invasor detecte a navegação do usuário saindo de uma página mal-intencionada criada. A atualização de segurança resolve a vulnerabilidade, alterando a forma como o conteúdo da página é tratado pelo Internet Explorer.
Vetores de ataque O invasor pode hospedar um site especialmente projetado para explorar a vulnerabilidade através do Internet Explorer e convencer um usuário a exibir o site. O invasor pode tirar proveito de sites comprometidos ou de sites que aceitam ou hospedam conteúdo fornecido pelo usuário ou anúncios, adicionando conteúdo especialmente criado para explorar a vulnerabilidade.
Fatores atenuantes Um invasor não teria como forçar os usuários a visualizar o conteúdo controlado por ele. Em vez disso, um invasor teria que convencer os usuários a realizarem uma ação não segura, geralmente por meio de atrativos em um email ou em uma mensagem instantânea, ou induzindo-os a abrir um anexo enviado por email.
Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Internet Explorer em todas as versões com suporte do Windows
Impacto Divulgação não autorizada de informações
Gravidade Moderada
Divulgado de forma pública? Sim
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 2 – Probabilidade menor de exploração
Avaliação de capacidade de exploração – Herdada: 2 – Probabilidade menor de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2017-11848
CVE-2017-11882 Vulnerabilidade de corrupção de memória do Microsoft Office
Sinopse Existe uma vulnerabilidade de execução remota de código no software Microsoft Office quando este não consegue manipular corretamente os objetos na memória. Um invasor que tenha conseguido explorar as vulnerabilidades pode executar um código arbitrário no contexto do usuário atual. Se o usuário atual estiver conectado com direitos de usuário administrativo, um invasor poderá assumir o controle do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos.

A atualização de segurança resolve a vulnerabilidade, corrigindo como o componente do Office afetado manipula objetos na memória.

Vetores de ataque A exploração dessa vulnerabilidade requer que um usuário abra um arquivo especialmente criado com uma versão afetada do Microsoft Office ou do Microsoft WordPad.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade enviando ao usuário um arquivo especialmente criado e convencendo-o a abrir esse arquivo.

Em um cenário de ataque baseado na Web, um invasor pode hospedar um site (ou aproveitar um site comprometido que aceita ou hospeda conteúdo fornecido pelo usuário) que contém um arquivo projetado especialmente para explorar a vulnerabilidade e então convencer o usuário a interagir com o arquivo mal-intencionado nessa localização na Web.

Fatores atenuantes Não há como o invasor forçar os usuários a abrir o conteúdo não seguro. Em vez disso, ele teria que convencer os usuários a realizar uma ação não segura, normalmente na forma de atrativos em um email ou mensagem instantânea, e então convencê-los a abrirem o arquivo especialmente criado.

Um invasor que conseguir explorar as vulnerabilidades poderá obter os mesmos direitos que o usuário atual. A configuração de contas de usuário com menos permissões reduziria o risco.

Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Microsoft Office 2007, Office 2010, Office 2013 e Office 2016.
Impacto Execução remota de código
Gravidade Importante
Divulgado de forma pública? Não
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 2 – Probabilidade menor de exploração
Avaliação de capacidade de exploração – Herdada: 2 – Probabilidade menor de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2017-11882
CVE-2017-11876 Vulnerabilidade de elevação de privilégio do Microsoft Project Server
Sinopse Existe uma vulnerabilidade de elevação de privilégio no Microsoft Project quando o Microsoft Project Server não gerencia adequadamente as sessões do usuário. Para esta vulnerabilidade de falsificação de solicitação entre sites (CSRF/XSRF) ser explorada, a vítima deve estar autenticada ao (conectada) site de destino.

A atualização resolve a vulnerabilidade, modificando como o Microsoft Project Server gerencia a autenticação da sessão do usuário.

Vetores de ataque Em um cenário de ataque pela Web, um invasor pode hospedar um site (ou aproveitar um site comprometido que aceita ou hospeda conteúdo fornecido pelo usuário) que contém uma página da Web especialmente criada que foi projetada para explorar a vulnerabilidade. Um invasor que conseguir explorar essa vulnerabilidade poderá ler conteúdo que ele não está autorizado a ler, usar a identidade da vítima para tomar ações no aplicativo Web em nome da vítima, como permissões de alteração e exclusão de conteúdo, além de injetar conteúdo mal-intencionado no navegador da vítima.
Fatores atenuantes Não há como o invasor forçar os usuários a visitarem o site mal-intencionado. Em vez disso, um invasor teria que convencer os usuários a realizar uma ação não segura, como clicar em um link de email ou em uma mensagem instantânea. 
Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Microsoft Project Server 2013 e Microsoft SharePoint Enterprise Server 2016
Impacto Elevação de privilégio
Gravidade Moderada
Divulgado de forma pública? Não
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 3 – Exploração improvável
Avaliação de capacidade de exploração – Herdada: 3 – Exploração improvável
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2017-11876
CVE-2017-11879 Vulnerabilidade de elevação de privilégio do ASP.NET Core
Sinopse Existe uma vulnerabilidade de redirecionamento aberto no ASP.NET Core que pode levar à elevação de privilégios.

A atualização aborda a vulnerabilidade corrigindo o modo como o ASP.NET Core manipula solicitações de redirecionamento.

Vetores de ataque Para explorar a vulnerabilidade, um invasor pode enviar um link que tem uma URL especialmente criada e convencer o usuário a clicar no link. Quando um usuário autenticado clica no link, a sessão do navegador do usuário autenticado pode ser redirecionada para um site mal-intencionado projetado para roubar informações de sessão de logon, como cookies ou tokens de autenticação.
Fatores atenuantes Um invasor não teria como forçar os usuários a visualizar o conteúdo controlado por ele. Em vez disso, um invasor teria que convencer os usuários a realizarem uma ação não segura, geralmente por meio de atrativos em um email ou em uma mensagem instantânea.
Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados ASP.NET Core 2.0
Impacto Elevação de privilégio
Gravidade Importante
Divulgado de forma pública? Não
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 2 – Probabilidade menor de exploração
Avaliação de capacidade de exploração – Herdada: 2 – Probabilidade menor de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2017-11879

Sobre a consistência das informações

Nós nos empenhamos para fornecer a você informações precisas usando conteúdos estáticos (esta mensagem) e dinâmicos (baseados na Web). O conteúdo de segurança da Microsoft postado na Web é atualizado frequentemente para informar sobre novidades. Se isso resultar em uma inconsistência entre as informações descritas aqui e as informações no conteúdo de segurança baseado na Web publicado pela Microsoft, as informações nesse conteúdo publicado prevalecerão.

Em caso de dúvidas sobre este aviso, entre em contato com seu Gerente Técnico de Conta (TAM)/Gerente de Prestação de Serviços (SDM).

Agradecemos sua atenção.

Equipe de Segurança Microsoft CSS