Lançamento da Atualização de Segurança da Microsoft - abril de 2018
Na terça-feira, 10 de abril de 2018, a Microsoft lançou novas atualizações de segurança que afetam os seguintes produtos da Microsoft:
| Família de produtos | Severidade máxima | Impacto máximo |
Artigos da base de dados e/ou páginas de suporte associados |
| Windows 10 e Windows Server 2016 (incluindo o Microsoft Edge) | Crítico | Execução remota de código |
Windows 10 v1709: 4093112; Windows 10 v1703: 4093107; Windows 10 v1607: 4093119; Windows 10: 4093111; Windows Server 2016: 4093119. |
| Windows 8.1 e Windows Server 2012 R2 | Crítico | Execução remota de código |
Pacote cumulativo mensal para o Windows 8.1 e o Windows Server 2012 R2: 4093114.Apenas segurança para o Windows 8.1 e o Windows Server 2012 R2: 4093115. |
| Windows Server 2012 | Crítico | Execução remota de código |
Pacote cumulativo mensal para o Windows Server 2012: 4093123.Apenas segurança para o Windows Server 2012: 4093122. |
| Windows RT 8.1 | Crítico | Execução remota de código |
Windows RT 8.1: 4093114.Observação: as atualizações para o Windows RT 8.1 só estão disponíveis por meio do Windows Update. |
| Windows 7 e Windows Server 2008 R2 | Crítico | Execução remota de código |
Pacote cumulativo mensal para o Windows 7 e o Windows Server 2008 R2: 4093118.Apenas segurança para o Windows 7 e o Windows Server 2008 R2: 4093108. |
| Windows Server 2008 | Crítico | Execução remota de código |
As atualizações para o Windows Server 2008 não são oferecidas em uma atualização cumulativa ou em um pacote cumulativo. Os seguintes artigos fazem referência a uma versão do Windows Server 2008: 4093223, 4093224, 4093227, 4091756, 4093257 e 4093478. |
| Internet Explorer | Crítico | Execução remota de código |
Cumulativo para o Internet Explorer 9 IE: 4092946; Pacote cumulativo mensal para o Internet Explorer 10: 4093123; Cumulativo para o Internet Explorer 10 IE: 4092946; Pacote cumulativo mensal para o Internet Explorer 11: 4093118 and 4093114; Cumulativo para o Internet Explorer 11 IE: 4092946; Atualização de segurança para o Internet Explorer 11: 4093107, 4093109, 4093111, 4093112, 4093119 e 4100375. |
| Software relacionado ao Microsoft Office | Importante | Execução remota de código |
O número de artigos da base de dados associados ao Microsoft Office para cada lançamento mensal de atualizações de segurança pode variar dependendo do número de CVEs e do número de componentes afetados. Este mês, há mais de 20 artigos da base de dados relacionados a atualizações do Office – muitos para listar aqui com a finalidade de um resumo. Reveja o conteúdo no Guia de Atualização de Segurança para obter detalhes sobre os artigos. |
| Microsoft SharePoint Server e SharePoint Enterprise Server | Importante | Execução remota de código |
Microsoft SharePoint Server: 4011586, 4011712, 4018336 e 4018342. |
| Microsoft Visual Studio | Importante | Divulgação não autorizada de informações |
Microsoft Visual Studio 2015: 4087371, Microsoft Visual Studio 2013: 4089283, Microsoft Visual Studio 2012: 4089501, Microsoft Visual Studio 2010: 4091346, Microsoft Visual Studio 2017: Notas de versão. |
| ChakraCore | Crítico | Execução remota de código |
ChakraCore é a parte central do Chakra, o mecanismo JavaScript de alto desempenho que habilita aplicativos do Microsoft Edge e Windows escritos em HTML/CSS/JS. Mais informações estão disponíveis aqui: https://github.com/Microsoft/ChakraCore/wiki. |
| Adobe Flash Player | Crítico | Execução remota de código |
Artigos da base de dados do Adobe Flash Player: 4093110. Comunicado do Adobe Flash Player: ADV180007. |
Visão geral da vulnerabilidade de segurança
Veja abaixo um resumo mostrando o número de vulnerabilidades solucionadas neste lançamento, discriminadas por produto/componente e por impacto.
| Detalhes da vulnerabilidade (1) |
RCE |
EOP |
ID |
SFB |
DOS |
TMP |
Divulgadas de forma pública |
Exploração conhecida |
CVSS máxima |
| Windows 10 v1709 |
7 |
3 |
12 |
2 |
4 |
0 |
0 |
0 |
8,4 |
| Windows 10 v1703 |
7 |
3 |
12 |
2 |
4 |
0 |
0 |
0 |
8,4 |
| Windows 10 v1607 e Windows Server 2016 |
7 |
3 |
11 |
2 |
4 |
0 |
0 |
0 |
8,4 |
| Windows 10 |
7 |
2 |
11 |
1 |
4 |
0 |
0 |
0 |
8,4 |
| Windows 8.1 e Server 2012 R2 |
7 |
2 |
11 |
0 |
3 |
0 |
0 |
0 |
8,4 |
| Windows Server 2012 |
7 |
2 |
9 |
0 |
3 |
0 |
0 |
0 |
8,4 |
| Windows 7 e Server 2008 R2 |
7 |
1 |
9 |
0 |
3 |
0 |
0 |
0 |
8,4 |
| Windows Server 2008 |
7 |
1 |
9 |
0 |
3 |
0 |
0 |
0 |
8,4 |
| Internet Explorer |
9 |
0 |
4 |
0 |
0 |
0 |
0 |
0 |
7,5 |
| Microsoft Edge |
8 |
0 |
3 |
0 |
0 |
0 |
0 |
0 |
4,3 |
| ChakraCore |
8 |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
4,2 |
| Microsoft Office |
7 |
0 |
2 |
0 |
0 |
0 |
0 |
0 |
NA (2) |
| SharePoint Server eSharePoint Enterprise Server |
1 |
3 |
0 |
0 |
0 |
1 |
1 |
0 |
NA (2) |
| Visual Studio |
0 |
0 |
1 |
0 |
0 |
0 |
0 |
0 |
NA (2) |
| RCE = Execução Remota de Código | EOP = Elevação de Privilégio | ID = Divulgação de Informações ConfidenciaisSFB = Bypass de Recurso de Segurança | DOS = Negação de Serviço | SPF = Falsificação | TMP = Adulteração | |||||||||
(1) Vulnerabilidades que sobrepõem componentes podem ser representadas mais de uma vez na tabela.
(2) No momento do lançamento, as pontuações de CVE só estavam disponíveis para o Windows, o Internet Explorer e o Microsoft Edge.
Guia de Atualizações de Segurança
O Guia de Atualizações de Segurança é nosso recurso recomendado para informações sobre atualizações de segurança. Você pode personalizar suas exibições e criar planilhas de softwares afetados, além de baixar dados por meio de uma API RESTful. Como lembrete, o Guia de Atualizações de Segurança agora substituiu formalmente as páginas de boletins de segurança tradicionais.
Portal do Guia de Atualizações de Segurança: https://aka.ms/securityupdateguide
Página da Web de perguntas frequentes sobre o Guia de Atualizações de Segurança: https://technet.microsoft.com/pt-br/security/mt791750
Página da Web de Tutorial de API para Atualizações de Segurança
Uma série de vídeos de demonstração de API de Atualizações de Segurança foi publicada no canal do Suporte da Microsoft no YouTube. A série irá orientá-lo sobre como acessar a API e como recuperar dados de atualizações de segurança usando a API. Divirta-se!
Página da Web de Tutorial de API para Atualizações de Segurança: https://sugapitutorial.azurewebsites.net/.
Detalhes de vulnerabilidade
Veja a seguir resumos de algumas das vulnerabilidades de segurança neste lançamento. Essas vulnerabilidades específicas foram selecionadas de um conjunto maior de vulnerabilidades no lançamento por um ou mais dos seguintes motivos: 1) Recebemos consultas sobre a vulnerabilidade; 2) a vulnerabilidade pode ter recebido atenção na imprensa especializada; ou 3) a vulnerabilidade tem impacto potencialmente maior do que outras no lançamento. Como não fornecemos resumos de todas as vulnerabilidades presentes do lançamento, você deve examinar o conteúdo no Guia de Atualizações de Segurança
para obter informações não fornecidas nesses resumos.
| CVE-2018-1003 | Vulnerabilidade de execução remota de código do Mecanismo de Banco de Dados JET da Microsoft |
| Sinopse | Existe uma vulnerabilidade de estouro de buffer no Mecanismo de Banco de Dados Microsoft JET que pode permitir a execução remota de código em um sistema afetado. O invasor que conseguir explorar essa vulnerabilidade poderá assumir o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. A atualização de segurança resolve a vulnerabilidade, modificando a forma como o Mecanismo de Banco de Dados Microsoft JET manipula objetos na memória. |
| Vetores de ataque | Para explorar a vulnerabilidade, um usuário deve abrir um arquivo do Excel especialmente criado ao usar uma versão afetada do Microsoft Windows. Em um cenário de ataque por email, o invasor pode explorar a vulnerabilidade enviando ao usuário um arquivo do Excel especialmente criado e convencendo-o a abrir esse arquivo. |
| Fatores atenuantes | Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos. |
| Soluções alternativas | A Microsoft não identificou soluções alternativas para essa vulnerabilidade. |
| Softwares afetados | Todas as versões com suporte do Windows |
| Impacto | Execução remota de código |
| Gravidade | Importante |
| Divulgado de forma pública? | Não |
| Explorações conhecidas? | Não |
| Avaliação de capacidade de exploração - Mais recente: | 1 - Probabilidade maior de exploração |
| Avaliação de capacidade de exploração - Herdada: | 1 - Probabilidade maior de exploração |
| Mais detalhes | https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-1003 |
| CVE-2018-0988 | Vulnerabilidade de corrupção da memória do mecanismo de script |
| Sinopse | Existe uma vulnerabilidade de execução remota de código na forma como o mecanismo de scripts manipula objetos na memória no Internet Explorer. A vulnerabilidade pode corromper a memória a ponto de permitir que um invasor execute código arbitrário no contexto do usuário atual. Um invasor que explorar com êxito as vulnerabilidades pode obter os mesmos direitos que o usuário atual. Se um usuário atual tiver feito logon com direitos administrativos, o invasor que explorar com êxito essas vulnerabilidades poderá obter o controle total do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. A atualização de segurança resolve a vulnerabilidade, modificando a forma como o mecanismo de script manipula objetos na memória. |
| Vetores de ataque | Em um cenário de ataque pela Web, o invasor pode hospedar um site especialmente criado para explorar a vulnerabilidade por meio do Internet Explorer e depois convencer um usuário a exibir o site. O invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. O invasor também pode tirar proveito dos sites comprometidos e de sites que aceitam ou hospedam o conteúdo fornecido pelo usuário ou anúncios. Esses sites podem ter conteúdo especialmente criado capaz de explorar a vulnerabilidade. |
| Fatores atenuantes | Um invasor não teria como forçar os usuários a realizar ações inseguras, como visitar um site inseguro ou abrir um documento inseguro. Em vez disso, um invasor teria que convencer os usuários a visitar o site inseguro ou abrir um documento mal-intencionado usando uma ou mais técnicas de engenharia social.Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos. |
| Soluções alternativas | A Microsoft não identificou soluções alternativas para essa vulnerabilidade. |
| Softwares afetados | Internet Explorer em todas as versões com suporte do Windows |
| Impacto | Execução remota de código |
| Gravidade | Crítico |
| Divulgado de forma pública? | Não |
| Explorações conhecidas? | Não |
| Avaliação de capacidade de exploração - Mais recente: | 1 - Probabilidade maior de exploração |
| Avaliação de capacidade de exploração - Herdada: | 1 - Probabilidade maior de exploração |
| Mais detalhes | https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-0988 |
| CVE-2018-1010 | Vulnerabilidade de execução remota de código em Gráficos da Microsoft |
| Sinopse | Existe uma vulnerabilidade de execução remota de código quando a biblioteca de fontes do Windows manipula de maneira indevida fontes incorporadas especialmente criadas. Um invasor que conseguir explorar essa vulnerabilidade poderá assumir o controle do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. A atualização de segurança resolve a vulnerabilidade corrigindo a maneira como a biblioteca de fontes do Windows manipula fontes incorporadas. |
| Vetores de ataque | Em um cenário de ataque na Web, o invasor pode hospedar um site especialmente criado e projetado para explorar a vulnerabilidade e convencer os usuários a visualizar esse site. Um invasor não teria como forçar os usuários a visualizar o conteúdo controlado por ele. Em vez disso, um invasor teria que convencer os usuários a tomarem medidas, normalmente fazendo com que eles cliquem no link de um email ou mensagem instantânea que os leva até o site do invasor ou induzindo-os a abrirem um anexo enviado por email.Em um cenário de ataque de compartilhamento de arquivos, um invasor pode fornecer um arquivo de documento especialmente criado e projetado para explorar a vulnerabilidade e convencer os usuários a abrir esse arquivo. |
| Fatores atenuantes | Um invasor não teria como forçar os usuários a realizar ações inseguras, como visitar um site inseguro ou abrir um arquivo inseguro. Em vez disso, um invasor teria que convencer os usuários a visitar o site inseguro ou abrir um arquivo mal-intencionado usando uma ou mais técnicas de engenharia social.Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos. |
| Soluções alternativas | A Microsoft não identificou soluções alternativas para essa vulnerabilidade. |
| Softwares afetados | Todas as versões com suporte do Windows |
| Impacto | Execução remota de código |
| Gravidade | Crítico |
| Divulgado de forma pública? | Não |
| Explorações conhecidas? | Não |
| Avaliação de capacidade de exploração - Mais recente: | 1 - Probabilidade maior de exploração |
| Avaliação de capacidade de exploração - Herdada: | 1 - Probabilidade maior de exploração |
| Mais detalhes | https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-1010 |
| CVE-2018-0890 | Vulnerabilidade de bypass do recurso de segurança do Active Directory |
| Sinopse | Existe uma vulnerabilidade de bypass de recurso de segurança quando o Active Directory aplica incorretamente as configurações de Isolamento de Rede. Essa atualização corrige o comportamento do recurso de segurança, corrigindo como o Active Directory gerencia as políticas de isolamento de rede aplicadas a Aplicativos Modernos. |
| Vetores de ataque | Para explorar essa vulnerabilidade, um invasor pode executar um aplicativo especialmente criado. Um invasor que conseguir explorar essa vulnerabilidade poderá desviar as políticas de firewall aplicadas a Aplicativos Modernos. |
| Fatores atenuantes | A Microsoft não identificou fatores atenuantes para essa vulnerabilidade. |
| Soluções alternativas | A Microsoft não identificou soluções alternativas para essa vulnerabilidade. |
| Softwares afetados | Windows 10 v1709, Windows 10 v1703, Windows 10 v1607, Windows Server 2016, Windows Server 2016 (instalação Server Core) e Windows Server v1709 (instalação Server Core). |
| Impacto | Bypass de recurso de segurança |
| Gravidade | Importante |
| Divulgado de forma pública? | Não |
| Explorações conhecidas? | Não |
| Avaliação de capacidade de exploração - Mais recente: | 3 - Exploração improvável |
| Avaliação de capacidade de exploração - Herdada: | 3 - Exploração improvável |
| Mais detalhes | https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-0890 |
| CVE-2018-0956 | Vulnerabilidade na negação de serviço em HTTP.sys |
| Sinopse | Existe uma vulnerabilidade de negação de serviço na pilha de protocolo HTTP 2.0 (HTTP.sys) quando o HTTP.sys analisa de forma inadequada as solicitações HTTP 2.0 especialmente criadas. Um invasor que conseguir explorar a vulnerabilidade poderá criar uma condição de negação de serviço, tornando o sistema de destino sem resposta.A atualização aborda a vulnerabilidade, modificando como a pilha do protocolo HTTP do Windows processa as solicitações HTTP 2.0. Observe que a vulnerabilidade de negação de serviço não permite que o invasor execute códigos ou aumente direitos de usuário. |
| Vetores de ataque | Para explorar essa vulnerabilidade, um invasor pode enviar um pacote HTTP especialmente criado ao sistema de destino, tornando o sistema afetado sem resposta. |
| Fatores atenuantes | A Microsoft não identificou fatores atenuantes para essa vulnerabilidade. |
| Soluções alternativas | A Microsoft não identificou soluções alternativas para essa vulnerabilidade. |
| Softwares afetados | Versões com suporte do Windows 10, Windows Server 2016, Windows Server 2016 (instalação Server Core), e Windows Server v1709 (instalação Server Core). |
| Impacto | Negação de serviço |
| Gravidade | Importante |
| Divulgado de forma pública? | Não |
| Explorações conhecidas? | Não |
| Avaliação de capacidade de exploração - Mais recente: | 3 - Exploração improvável |
| Avaliação de capacidade de exploração - Herdada: | 3 - Exploração improvável |
| Mais detalhes | https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-0956 |
| CVE-2018-1028 | Vulnerabilidade de execução remota de código em elementos gráficos do Microsoft Office |
| Sinopse | Existe uma vulnerabilidade de execução remota de código quando o Office Graphics manipula de maneira indevida fontes incorporadas especialmente criadas. O invasor que conseguir explorar essa vulnerabilidade poderá assumir o controle do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário.A atualização de segurança resolve a vulnerabilidade corrigindo a maneira como a biblioteca de fontes do Windows manipula fontes incorporadas. |
| Vetores de ataque | Em um cenário de ataque com base na Web, o invasor poderia hospedar um site especialmente criado e projetado para explorar a vulnerabilidade e convencer um usuário a visualizar o site.Em um cenário de ataque de compartilhamento de arquivos, um invasor pode fornecer um arquivo de documento especialmente criado e projetado para explorar a vulnerabilidade e convencer um usuário a abrir esse arquivo. |
| Fatores atenuantes | Um atacante não teria como forçar um usuário a exibir o conteúdo controlado pelo atacante. Em vez disso, o atacante precisaria convencer um usuário a executar uma ação, normalmente clicando em um link em uma mensagem de email ou em uma mensagem instantânea que leve o usuário ao site do atacante ou abrindo um anexo enviado por email.Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos. |
| Soluções alternativas | A Microsoft não identificou soluções alternativas para essa vulnerabilidade. |
| Softwares afetados | Microsoft Office 2010, Office 2013, Office 2016, Office Web Apps 2010, Office Web Apps Server 2013, SharePoint Server 2013, SharePoint Enterprise Server 2016, Serviços do Excel e Serviços de Automação do Word. |
| Impacto | Execução remota de código |
| Gravidade | Importante |
| Divulgado de forma pública? | Não |
| Explorações conhecidas? | Não |
| Avaliação de capacidade de exploração - Mais recente: | 1 - Probabilidade maior de exploração |
| Avaliação de capacidade de exploração - Herdada: | 1 - Probabilidade maior de exploração |
| Mais detalhes | https://portal.msrc.microsoft.com/pt-br/security-guidance/advisory/CVE-2018-1028 |
| Diretriz geral sobre a classificação de gravidade das vulnerabilidades que afetam os componentes do Office: | No que diz respeito a vulnerabilidades que afetam os componentes do Office nesta versão, se a tabela Produtos Afetados na página da Web da descrição da CVE listar uma gravidade como Crítica, significa que o Painel de Visualização é um vetor de ataque para o componente correspondente. Sempre que a gravidade não estiver listada como Crítica na tabela Produtos Afetados, significa que o componente correspondente não tem um vetor de ataque no Painel de Visualização. |
Sobre a consistência das informações
Nós nos empenhamos para fornecer a você informações precisas usando conteúdos estáticos (esta mensagem) e dinâmicos (baseados na Web). O conteúdo de segurança da Microsoft postado na Web é atualizado frequentemente para informar sobre novidades. Se isso resultar em uma inconsistência entre as informações descritas aqui e as informações no conteúdo de segurança baseado na Web publicado pela Microsoft, as informações nesse conteúdo publicado prevalecerão.
Em caso de dúvidas sobre este aviso, entre em contato com seu Gerente Técnico de Conta (TAM)/Gerente de Prestação de Serviços (SDM).
Agradecemos sua atenção.
Equipe de Segurança Microsoft CSS