Lançamento da atualização de segurança da Microsoft – junho de 2018

Em terça-feira, 12 de junho de 2018, a Microsoft lançou novas atualizações de segurança que afetam os seguintes produtos da Microsoft:

Família de produtos Severidade máxima

Impacto máximo

Artigos da base de dados e/ou páginas de suporte associados
Windows 10 e Windows Server 2016 (incluindo o Microsoft Edge) Crítico

Execução remota de código

Windows 10 v1803: 4284835; Windows 10 v1709: 4284819; Windows 10 v1703: 4284874; Windows 10 v1607: 4284880; Windows 10: 4284860 e Windows Server 2016: 4284880
Windows 8.1 e Windows Server 2012 R2 Crítico

Execução remota de código

Pacote cumulativo mensal para o Windows 8.1 e o Windows Server 2012 R2: 4284815

Apenas segurança para o Windows 8.1 e o Windows Server 2012 R2: 4284878

Windows Server 2012 Crítico

Execução remota de código

Pacote cumulativo mensal para o Windows Server 2012: 4284855

Apenas segurança para o Windows Server 2012: 4284846

Windows RT 8.1 Crítico

Execução remota de código

Windows RT 8.1: 4284815

Observação: Atualizações para o Windows RT 8.1 só estão disponíveis por meio do Windows Update

Windows 7 e Windows Server 2008 R2 Crítico

Execução remota de código

Pacote cumulativo mensal para o Windows 7 e o Windows Server 2008 R2: 4284826

Apenas segurança para o Windows 7 e o Windows Server 2008 R2: 4284867

Windows Server 2008 Crítico

Execução remota de código

As atualizações para o Windows Server 2008 não são oferecidas em uma atualização cumulativa ou em um pacote cumulativo. Os seguintes artigos fazem referência a uma versão do Windows Server 2008: 4234459, 4230467 e 4294413
Internet Explorer Crítico

Execução remota de código

Cumulativo para o Internet Explorer 9 IE: 4230450; Pacote cumulativo mensal para o Internet Explorer 10: 4284855;
Cumulativo para o Internet Explorer 10 IE: 4230450; Pacote cumulativo mensal para o Internet Explorer 11: 4284815
e 4284826
Cumulativo para o Internet Explorer 11 IE:
4230450Atualização de segurança para o Internet Explorer 11: 4284835, 4284874, 4284819, 4284860 e 4284880
Software relacionado ao Microsoft Office Importante

Execução remota de código

O número de artigos da base de dados associados ao Microsoft Office para cada lançamento mensal de atualizações de segurança pode variar dependendo do número de CVEs e do número de componentes afetados. Este mês, há mais de 20 artigos da base de dados relacionados a atualizações do Office – muitos para listar aqui com a finalidade de um resumo. Reveja o conteúdo no Guia de Atualização de Segurança para obter detalhes sobre os artigos.
Softwares relacionados ao Microsoft SharePoint Importante

Elevação de privilégio

Softwares relacionados ao Microsoft SharePoint: 4022173, 4022190 e 4022210
ChakraCore Crítico

Execução remota de código

ChakraCore é a parte central do Chakra, o mecanismo JavaScript de alto desempenho que habilita aplicativos do Microsoft Edge e Windows escritos em HTML/CSS/JS. Informações adicionais estão disponíveis em https://github.com/Microsoft/Cha​kraCore/wiki

Visão geral da vulnerabilidade de segurança

Veja abaixo um resumo mostrando o número de vulnerabilidades solucionadas neste lançamento, discriminadas por produto/componente e por impacto.

Detalhes da vulnerabilidade (1)

RCE

EOP

ID

SFB

DOS

SPF

Divulgadas de forma pública

Exploração conhecida

CVSS máxima

Windows 10 1803

6

8

3

5

3

0

0

0

8,1

Windows 10 1709

6

7

4

5

4

0

0

0

8,1

Windows 10 1703

5

6

4

7

3

0

0

0

8,1

Windows 10 1607 e Server 2016 (3)

5

6

3

7

3

0

0

0

8,1

Windows 10

5

2

2

6

3

0

0

0

8,1

Windows 8.1 e Server 2012 R2

3

2

1

0

2

0

0

0

8,1

Windows Server 2012

3

2

1

0

2

0

0

0

8,1

Windows 7 e Server 2008 R2

2

3

1

0

2

0

0

0

8,1

Windows Server 2008

1

3

1

0

1

0

0

0

8,1

Internet Explorer

3

0

0

1

0

0

1

0

7,5

Microsoft Edge

5

0

2

1

0

0

0

0

4,3

Software relacionado ao Microsoft Office

1

3

1

0

0

0

0

0

NA (2)

Softwares relacionados ao Microsoft SharePoint

0

2

0

0

0

0

0

0

NA (2)

ChakraCore

3

0

0

0

0

0

0

0

NA (2)

RCE = Execução Remota de Código | EOP = Elevação de Privilégio | ID = Divulgação de Informações Confidenciais
SFB = Bypass de Recurso de Segurança | DOS = Negação de Serviço | SPF = Falsificação

(1) Vulnerabilidades que sobrepõem componentes podem ser representadas mais de uma vez na tabela.

(2) No momento do lançamento, as pontuações de CVE só estavam disponíveis para o Windows, o Internet Explorer e o Microsoft Edge.

(3) Atualizações para o Windows 10 v1607 podem exigir que a Atualização da pilha de serviço KB4132216 seja instalada primeira.

Novo comunicado de segurança

Comunicado de segurança 4338110 A orientação da Microsoft para o bypass do recurso de segurança de criptografia simétrica do CBC
Sinopse A Microsoft está anunciando a melhor orientação sobre o uso do modo CBC (Cipher-Block Chaining) com criptografia simétrica. Uma vulnerabilidade de bypass de recurso de segurança “padding oracle” (oráculo de preenchimento) pode existir em certas circunstâncias se cifras de bloco CBC preenchidas forem usadas sem verificações de integridade de dados adicionais. Isso pode permitir que um invasor descriptografe e adultere dados criptografados sem mesmo conhecer a chave de criptografia. Essa vulnerabilidade pode ser usada tanto localmente quanto em ataques baseados em rede.

A vulnerabilidade decorre da maneira como a criptografia é codificada e não pode ser identificada programaticamente sem uma alta taxa de falsos positivos devido à natureza imprevisível dos dados. A vulnerabilidade depende da existência de um “oráculo de preenchimento” que responda livremente às consultas sobre se uma mensagem está preenchida corretamente ou não. Um ataque depende da capacidade de alterar os dados criptografados e testar o resultado com o oráculo. A única maneira de mitigar totalmente o ataque é detectar alterações nos dados criptografados e recusar-se a executar qualquer ação neles. A maneira padrão de fazer isso é criar uma assinatura verificável para os dados e validar essa assinatura antes que qualquer operação seja realizada.

O possível problema pode se aplicar a dados em repouso ou a dados em trânsito, e a Microsoft recomenda que quaisquer dados que tenham confidencialidade em trânsito sejam transmitidos via protocolo TLS (o sucessor do protocolo SSL). Os aplicativos que não podem alterar seu formato de mensagens, mas executar a descriptografia CBC não autenticada, são encorajados a tentar incorporar mitigações. Com base em pesquisas atuais, acredita-se que, quando as etapas de autenticação e criptografia são executadas de forma independente (para os modos de criptografia não AE), autenticar o texto cifrado (criptografar e depois assinar) seja a melhor opção geral. No entanto, não existe uma resposta única correta para a criptografia, e essa generalização não é tão boa quanto a orientação de um criptógrafo profissional.

Em resumo, para usar cifras de bloco CBC preenchidas com segurança, você deve combiná-las com um HMAC (ou outra verificação de integridade de dados) que você valida usando uma comparação de tempo constante antes de tentar descriptografar os dados. Como todas as mensagens alteradas levarão a mesma quantidade de tempo para produzir uma resposta, o ataque é evitado. Para ajudar a localizar instâncias dessa vulnerabilidade, a Microsoft publicou diretrizes indicando como conduzir revisões de código conforme discutido no documento atualizado: Vulnerabilidades de tempo com descriptografia simétrica no modo CBC usando preenchimento.

Declaração sobre se algum produto ou serviço da Microsoft é afetado Os produtos e serviços da Microsoft foram revisados e não são afetados.
Ações recomendadas:
  • Revise o comunicado de segurança para obter mais detalhes sobre o problema.
  • Mantenha os aplicativos da Microsoft atualizados.
  • Determine se você tem aplicativos personalizados realizando sua própria criptografia e descriptografia.
  • Leia o documento referenciado no Comunicado de segurança 4092731 para determinar como identificar um código vulnerável.
Informações adicionais: https://docs.microsoft.com/security-updates/securityadvisories/2018/4338110

Revisões de comunicados de segurança

Comunicado de segurança 180012 Orientação da Microsoft para a Speculative Store Bypass
Sinopse (comunicado anteriormente na versão 1.0 deste comunicado de segurança) Em 3 de janeiro de 2018, a Microsoft lançou um comunicado e atualizações de segurança relacionados a uma classe de vulnerabilidades de hardware recém-descobertas (conhecidas como Specter e Meltdown) envolvendo canais paralelos de execução especulativa que afetam os processadores AMD, ARM e Intel em graus variados. Em 21 de maio, uma nova subclasse de vulnerabilidades de canal paralelo de execução especulativa, conhecida como Speculative Store Bypass (SSB), foi anunciada e atribuída à CVE-2018-3639.

Um invasor que conseguir explorar essa vulnerabilidade poderá ler dados privilegiados entre limites de confiança. Padrões de código vulnerável no sistema operacional (SO) ou em aplicativos podem permitir que um invasor explore essa vulnerabilidade. No caso de compiladores Just-in-Time (JIT), como o JavaScript JIT empregado por navegadores modernos, é possível que um invasor forneça um JavaScript que produza código nativo capaz de dar origem a uma instância da CVE-2018-3639. No entanto, o Microsoft Edge, o Internet Explorer e outros dos principais navegadores tomaram medidas para aumentar a dificuldade de criar com sucesso um canal paralelo.

No momento da publicação, não estamos cientes de nenhum padrão de código explorável dessa classe de vulnerabilidade em nosso software ou infraestrutura de serviços em nuvem, mas continuaremos a investigar. A Microsoft implementará a seguinte estratégia para mitigar a Speculative Store Bypass:

  • Se um padrão de código vulnerável for encontrado, nós o solucionaremos com uma atualização de segurança.
  • O Microsoft Windows e o Azure adicionarão suporte para o Speculative Store Bypass Disable (SSBD), conforme documentado pela Intel e a AMD. O SSBD inibe a ocorrência da Speculative Store Bypass, eliminando assim completamente o risco de segurança.
  • A Microsoft continuará a desenvolver, lançar e implantar mitigações de defesa profunda para vulnerabilidades de canal paralelo de execução especulativa, incluindo a Speculative Store Bypass. Para obter mais detalhes, consulte o blog Security Research and Defense da Microsoft.
  • A Microsoft continuará pesquisando canais paralelos de execução especulativa, inclusive por meio do contato com pesquisadores e do programa de recompensas de execução especulativa. Consulte https://technet.microsoft.com/pt-br/mt846432.aspx.
Natureza da revisão em 12 de junho de 2018 (V 2.0) A Microsoft está anunciando o suporte do Windows para a SSBD (Speculative Store Bypass Disable) em processadores Intel. As atualizações exigem atualizações de microcódigo/firmware e do Registro correspondentes para a funcionalidade.

Consulte a seção Ações recomendadas do Comunicado de segurança 180012 para obter informações sobre as atualizações e as etapas a serem aplicadas para ativar o SSBD.

Informações adicionais: https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/ADV180012
Comunicado de segurança 180002 Orientação da Microsoft para a Speculative Store Bypass
Sinopse (comunicado anteriormente nas revisões anteriores deste comunicado de segurança) Em 3 de janeiro de 2018, a Microsoft lançou um comunicado e atualizações de segurança relacionados a uma classe de vulnerabilidades de hardware recém-descobertas (conhecidas como Specter e Meltdown) envolvendo canais paralelos de execução especulativa que afetam os processadores AMD, ARM e Intel em graus variados. Em 21 de maio, uma nova subclasse de vulnerabilidades de canal paralelo de execução especulativa, conhecida como Speculative Store Bypass (SSB), foi anunciada e atribuída à CVE-2018-3639.

A Microsoft está ciente de uma nova classe de vulnerabilidades publicamente divulgada conhecida como “ataques de canal paralelo de execução especulativa” e que afetam muitos processadores e sistemas operacionais modernos, entre eles o Intel, o AMD e o ARM. Observação: como esse problema afetará outros sistemas, como o Android, o Chrome, o iOS e o MacOS, recomendamos que os clientes busquem a orientação desses fornecedores.

A Microsoft lançou várias atualizações para ajudar a aliviar essas vulnerabilidades. Também tomamos medidas para proteger nossos serviços de nuvem. Veja abaixo para obter mais detalhes.

Até agora, a Microsoft não recebeu nenhuma informação que indicasse que essas vulnerabilidades foram usadas para atacar clientes. A Microsoft continua trabalhando em estreita colaboração com parceiros da indústria, incluindo fabricantes de chips, OEMs de hardware e fornecedores de aplicativos, para proteger os clientes. Para obter todas as proteções disponíveis, são necessárias atualizações de hardware/firmware e software. Isso pode incluir o microcódigo de OEMs de dispositivos e, em alguns casos, atualizações de softwares AV também.

Este comunicado abrange as seguintes vulnerabilidades:

  • CVE-2017-5753 – Bypass de verificação de limite
  • CVE-2017-5715 – Injeção de alvo de ramificação
  • CVE-2017-5754 – Carregamento de cache de dados invasor
Natureza da revisão em 12 de junho de 2018 (V 20.0) Atualize a Pergunta frequente 15 para anunciar que as seguintes atualizações de segurança fornecem mitigações adicionais para processadores AMD para CVE-2017-5715:

  1. Atualização de segurança 4284874 para o Windows 10 Versão 1703
  2. Atualização de segurança 4284860 para o Windows 10.
  3. Atualização de segurança 4284826 (pacote cumulativo mensal) ou 4284867 (apenas segurança) para Windows 7, Windows Server 2008 R2 ou Windows Server 2008 R2 (instalação Server Core).
Informações adicionais: https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/ADV180002 

Guia de Atualizações de Segurança

O Guia de Atualizações de Segurança é nosso recurso recomendado para informações sobre atualizações de segurança. Você pode personalizar suas exibições e criar planilhas de softwares afetados, além de baixar dados por meio de uma API RESTful. Como lembrete, o Guia de Atualizações de Segurança agora substituiu formalmente as páginas de boletins de segurança tradicionais.

Portal do Guia de Atualizações de Segurança: https://aka.ms/securityupdateguide

Página da Web de perguntas frequentes sobre o Guia de Atualizações de Segurança: https://technet.microsoft.com/pt-br/security/mt791750

Página da Web de Tutorial de API para Atualizações de Segurança

Uma série de vídeos de demonstração de API de Atualizações de Segurança foi publicada no canal do Suporte da Microsoft no YouTube. A série irá orientá-lo sobre como acessar a API e como recuperar dados de atualizações de segurança usando a API. Divirta-se!

Página da Web de Tutorial de API para Atualizações de Segurança: https://sugapitutorial.azurewebsites.net/.

Detalhes de vulnerabilidade

Veja a seguir resumos de algumas das vulnerabilidades de segurança neste lançamento. Essas vulnerabilidades específicas foram selecionadas de um conjunto maior de vulnerabilidades no lançamento por um ou mais dos seguintes motivos: 1) Recebemos consultas sobre a vulnerabilidade; 2) a vulnerabilidade pode ter recebido atenção na imprensa especializada; ou 3) a vulnerabilidade tem impacto potencialmente maior do que outras no lançamento. Como não fornecemos resumos de todas as vulnerabilidades presentes do lançamento, você deve examinar o conteúdo no Guia de Atualizações de Segurança
para obter informações não fornecidas nesses resumos.

CVE-2018-8231 Vulnerabilidade de Execução Remota de Código na Pilha do Protocolo HTTP
Sinopse Existe uma vulnerabilidade de execução remota de código quando a Pilha de Protocolo HTTP (Http.sys) manipula incorretamente objetos na memória. Um invasor que conseguir explorar essa vulnerabilidade poderá executar um código arbitrário e ter o controle do sistema afetado. A atualização de segurança corrige essa vulnerabilidade, corrigindo como a Pilha do Protocolo HTTP (Http.sys) manipula objetos na memória.
Fatores atenuantes A Microsoft não identificou fatores atenuantes para essa vulnerabilidade.
Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Windows 10 e Windows Server 2016
Impacto Execução remota de código
Gravidade Crítico
Divulgado de forma pública? Não
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 2 – Probabilidade menor de exploração
Avaliação de capacidade de exploração – Herdada: 2 – Probabilidade menor de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-8231
CVE-2018-8225 Vulnerabilidade de Execução Remota de Código do Windows DNSAPI
Sinopse Existe uma vulnerabilidade de execução remota de código no DNSAPI.dll do Sistema de Nomes de Domínio (DNS) do Windows quando ele não lida corretamente com as respostas DNS. Um invasor que conseguir explorar a vulnerabilidade poderá executar um código arbitrário no contexto da conta Sistema Local. A atualização de segurança resolve a vulnerabilidade, modificando como o Windows DNSAPI.dll lida com respostas DNS.
Vetores de ataque Para explorar a vulnerabilidade, o invasor usaria um servidor DNS mal-intencionado para enviar respostas DNS corrompidas ao destino.
Fatores atenuantes A Microsoft não identificou fatores atenuantes para essa vulnerabilidade.
Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Todas as versões com suporte do Windows
Impacto Execução remota de código
Gravidade Crítico
Divulgado de forma pública? Não
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 2 – Probabilidade menor de exploração
Avaliação de capacidade de exploração – Herdada: 2 – Probabilidade menor de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-8225
CVE-2018-8267 Vulnerabilidade de corrupção da memória do mecanismo de script
Sinopse Existe uma vulnerabilidade de execução remota de código na forma como o mecanismo de scripts manipula objetos na memória no Internet Explorer. A vulnerabilidade pode corromper a memória a ponto de permitir que um invasor execute código arbitrário no contexto do usuário atual. Um invasor que explorar com êxito as vulnerabilidades pode obter os mesmos direitos que o usuário atual. Se um usuário atual tiver feito logon com direitos administrativos, o invasor que explorar com êxito essas vulnerabilidades poderá obter o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.

A atualização de segurança resolve a vulnerabilidade, modificando a forma como o mecanismo de script manipula objetos na memória.

Vetores de ataque Em um cenário de ataque pela Web, o invasor pode hospedar um site especialmente criado para explorar a vulnerabilidade por meio do Internet Explorer e depois convencer um usuário a exibir o site. O invasor também pode incorporar um controle ActiveX marcado como “seguro para inicialização” em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado capaz de explorar a vulnerabilidade.
Fatores atenuantes Um invasor não teria como forçar os usuários a realizar ações inseguras, como visitar um site inseguro ou abrir um documento inseguro. Em vez disso, um invasor teria que convencer os usuários a visitar o site inseguro ou abrir um documento mal-intencionado usando uma ou mais técnicas de engenharia social.

Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos.

Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Internet Explorer em versões compatíveis do Windows
Impacto Execução remota de código
Gravidade Crítico
Divulgado de forma pública? Sim
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 1 – Probabilidade maior de exploração
Avaliação de capacidade de exploração – Herdada: 1 – Probabilidade maior de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-8267
CVE-2018-8248 Vulnerabilidade de execução remota de código do Microsoft Excel
Sinopse Existe uma vulnerabilidade de execução remota de código no software Microsoft Excel quando este não consegue manipular corretamente os objetos na memória. Um invasor que conseguir explorar a vulnerabilidade poderá executar código arbitrário no contexto do usuário atual. Se o usuário atual estiver conectado com direitos de usuário administrativo, um invasor poderá assumir o controle do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos.

A atualização de segurança resolve a vulnerabilidade, corrigindo o modo como o Microsoft Excel lida com objetos na memória.

Vetores de ataque A exploração dessa vulnerabilidade requer que um usuário abra um arquivo especialmente criado com uma versão afetada do Microsoft Excel.

Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade enviando ao usuário um arquivo especialmente criado e convencendo-o a abrir esse arquivo. Observação: O Painel de Visualização no email não é um vetor de ataque para essa vulnerabilidade.

Em um cenário de ataque baseado na Web, um invasor pode hospedar um site (ou aproveitar um site comprometido que aceita ou hospeda conteúdo fornecido pelo usuário) que contém um arquivo projetado especialmente para explorar a vulnerabilidade.

Fatores atenuantes Um invasor não teria como forçar os usuários a realizar ações inseguras, como visitar um site inseguro ou abrir um documento inseguro. Em vez disso, um invasor teria que convencer os usuários a visitar o site inseguro ou abrir um documento mal-intencionado usando uma ou mais técnicas de engenharia social.

Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos.

Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Microsoft Office 2010, Office 2013 RT, Office 2013, Office 2016 e Clique para Executar do Office 2016 (C2R).
Impacto Execução remota de código
Gravidade Importante
Divulgado de forma pública? Não
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 2 – Probabilidade menor de exploração
Avaliação de capacidade de exploração – Herdada: 2 – Probabilidade menor de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-8248
CVE-2018-8254 Vulnerabilidade de elevação de privilégio do Microsoft SharePoint
Sinopse Existe uma vulnerabilidade de elevação de privilégio quando o Microsoft SharePoint Server não limpa adequadamente uma solicitação da Web especialmente criada para um servidor do SharePoint afetado. Um invasor autenticado pode explorar essa vulnerabilidade enviando uma solicitação especialmente criada para um servidor afetado do SharePoint.

A atualização de segurança resolve a vulnerabilidade, ajudando a garantir que o SharePoint Server limpe adequadamente as solicitações da Web.

Vetores de ataque O invasor que conseguir explorar essa vulnerabilidade poderá executar ataques de script entre sites em sistemas afetados e executar scripts no contexto de segurança do usuário atual. Esses ataques podem permitir que o invasor leia conteúdo para o qual ele não tem autorização, use a identidade da vítima para realizar ações no site do SharePoint em nome do usuário, como alterar permissões e excluir conteúdo, além de inserir conteúdo mal-intencionado no navegador do usuário.
Fatores atenuantes Antes que um ataque possa prosseguir, um invasor primeiro precisa ser capaz de fazer logon no sistema alvo. 
Soluções alternativas A Microsoft não identificou soluções alternativas para essa vulnerabilidade.
Softwares afetados Microsoft SharePoint Enterprise Server 2016, SharePoint Foundation 2013 e Project Server 2010.
Impacto Elevação de privilégio
Gravidade Importante
Divulgado de forma pública? Não
Explorações conhecidas? Não
Avaliação de capacidade de exploração – Mais recente: 2 – Probabilidade menor de exploração
Avaliação de capacidade de exploração – Herdada: 2 – Probabilidade menor de exploração
Mais detalhes https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-8254

Sobre a consistência das informações

Nós nos empenhamos para fornecer a você informações precisas usando conteúdos estáticos (esta mensagem) e dinâmicos (baseados na Web). O conteúdo de segurança da Microsoft postado na Web é atualizado frequentemente para informar sobre novidades. Se isso resultar em uma inconsistência entre as informações descritas aqui e as informações no conteúdo de segurança baseado na Web publicado pela Microsoft, as informações nesse conteúdo publicado prevalecerão.

Em caso de dúvidas sobre este aviso, entre em contato com seu Gerente Técnico de Conta (TAM)/Gerente de Prestação de Serviços (SDM).

Agradecemos sua atenção.

Equipe de Segurança Microsoft CSS