Microsoft Security Bulletin MS16-097 - Crítica

Artigo
03/14/2024

Atualização de segurança para o Microsoft Graphics Component (3177393)

Publicado em: 9 de agosto de 2016

Versão: 1.0

Resumo executivo

Esta atualização de segurança resolve vulnerabilidades no Microsoft Windows, Microsoft Office, Skype for Business e Microsoft Lync. As vulnerabilidades podem permitir a execução remota de código se um usuário visitar um site especialmente criado ou abrir um documento especialmente criado. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema correm menos riscos do que aqueles que têm direitos de usuário administrativo.

Esta atualização de segurança é classificada como Crítica para:

Todas as versões suportadas do Microsoft Windows
Edições afetadas do Microsoft Office 2007 e do Microsoft Office 2010
Edições afetadas do Skype for Business 2016, Microsoft Lync 2013 e Microsoft Lync 2010

A atualização de segurança elimina as vulnerabilidades corrigindo como a biblioteca de fontes do Windows manipula fontes incorporadas. Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações, consulte a seção Softwares afetados e classificações de gravidade da vulnerabilidade.

Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3177393 da Base de Dados de Conhecimento Microsoft.

Software afetado e classificações de gravidade da vulnerabilidade

As seguintes versões ou edições de software são afetadas. As versões ou edições que não estão listadas já passaram do ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida de suporte para sua versão ou edição de software, consulte Ciclo de Vida do Suporte da Microsoft.

As classificações de gravidade indicadas para cada software afetado pressupõem o impacto máximo potencial da vulnerabilidade. Para obter informações sobre a probabilidade, dentro de 30 dias após o lançamento deste boletim de segurança, da possibilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e impacto à segurança, consulte o Índice de exploração no resumo de boletins de agosto.

Microsoft Windows

Sistema operacional	Vulnerabilidade de RCE do componente gráfico do Windows - CVE-2016-3301	Vulnerabilidade de RCE do componente gráfico do Windows - CVE-2016-3303	Vulnerabilidade de RCE do componente gráfico do Windows - CVE-2016-3304	Atualizações substituídas*
Windows Vista
Windows Vista Service Pack 2 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows Vista x64 Edition Service Pack 2 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows Server 2008
Windows Server 2008 para sistemas de 32 bits Service Pack 2 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows Server 2008 para sistemas baseados em x64 Service Pack 2 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows Server 2008 para sistemas baseados em Itanium Service Pack 2 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows 7
Windows 7 para sistemas de 32 bits Service Pack 1 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	2957503 no boletim MS14-036
Windows 7 para sistemas baseados em x64 Service Pack 1 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	2957503 no boletim MS14-036
Windows Server 2008 R2
Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	2957503 no boletim MS14-036
Windows Server 2008 R2 para sistemas baseados em Itanium Service Pack 1 (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	2957503 no boletim MS14-036
Windows 8.1
Windows 8.1 para sistemas de 32 bits (3178034)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Windows 8.1 para sistemas baseados em x64 (3178034)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Windows Server 2012 e Windows Server 2012 R2
Windows Server 2012 (3178034)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Windows Server 2012 R2 (3178034)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Windows RT 8.1
Windows RT 8.1^[1](3178034)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Windows 10
Windows 10 para sistemas^{de 32 bits[2]}(3176492)	Execução remota crítica de código	Não aplicável	Não aplicável	3163912
Windows 10 para sistemas^{baseados em x64[2]}(3176492)	Execução remota crítica de código	Não aplicável	Não aplicável	3163912
Windows 10 versão 1511 para sistemas^{de 32 bits[2]}(3176493)	Execução remota crítica de código	Não aplicável	Não aplicável	3172985
Windows 10 versão 1511 para sistemas^{baseados em x64[2]}(3176493)	Execução remota crítica de código	Não aplicável	Não aplicável	3172985
Windows 10 versão 1607 para sistemas^{de 32 bits[2]}(3176495)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Windows 10 versão 1607 para sistemas^{baseados em x64[2]}(3176495)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Opção de instalação Server Core
Windows Server 2008 para sistemas de 32 bits Service Pack 2 (instalação Server Core) (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows Server 2008 para sistemas baseados em x64 Service Pack 2 (instalação Server Core) (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1 (instalação Server Core) (3178034)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3087135 no boletim MS15-097
Windows Server 2012 (instalação Server Core) (3178034)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum
Windows Server 2012 R2 (instalação Server Core) (3178034)	Execução remota crítica de código	Não aplicável	Não aplicável	Nenhum

^[1]Esta actualização só está disponível através do Windows Update.

^[2]As atualizações do Windows 10 são cumulativas. A versão de segurança mensal inclui todas as correções de segurança para vulnerabilidades que afetam o Windows 10, além de atualizações não relacionadas à segurança. As atualizações estão disponíveis por meio do Catálogo do Microsoft Update.

Observação As vulnerabilidades discutidas neste boletim afetam o Windows Server 2016 Technical Preview 5. Para se proteger das vulnerabilidades, a Microsoft recomenda que os clientes que executam esse sistema operacional apliquem a atualização atual, que está disponível no Windows Update.

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em qualquer cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas são fornecidas na guia PackageDetails ).

Microsoft Office

Sistema operacional	Vulnerabilidade de RCE do componente gráfico do Windows - CVE-2016-3301	Vulnerabilidade de RCE do componente gráfico do Windows - CVE-2016-3303	Vulnerabilidade de RCE do componente gráfico do Windows - CVE-2016-3304	Atualizações substituídas*
Microsoft Office 2007
Microsoft Office 2007 Service Pack 3 (3115109)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3114542 no boletim MS16-039
Microsoft Office 2010
Microsoft Office 2010 Service Pack 2 (edições de 32 bits) (3115131)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3114566 no boletim MS16-039
Microsoft Office 2010 Service Pack 2 (edições de 64 bits) (3115131)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3114566 no boletim MS16-039
Outros softwares de escritório
Visualizador do Microsoft Word (3115481)	Execução remota crítica de código	Execução remota crítica de código	Execução remota crítica de código	3114985 no boletim MS16-039

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em qualquer cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas são fornecidas na guia Detalhes do Pacote).

Software e plataformas de comunicação da Microsoft

^[1]Antes de instalar esta atualização, você deve ter 2965218 de atualização e 3039779 de atualização de segurança instalados. Consulte as Perguntas frequentes sobre atualização para obter mais informações.

^[2]Esta atualização está disponível no Centro de Download da Microsoft.

^[3]Uma atualização para o Suplemento de Conferência para Microsoft Office Outlook também está disponível. Para obter mais informações e links para download, consulte Baixar o suplemento de conferência para o Microsoft Office Outlook.

*A coluna Atualizações substituídas mostra apenas a atualização mais recente em uma cadeia de atualizações substituídas. Para obter uma lista abrangente de atualizações substituídas, vá para o Catálogo do Microsoft Update, procure o número KB da atualização e exiba os detalhes da atualização (as informações sobre atualizações substituídas estão na guia Detalhes do Pacote ).

Perguntas frequentes sobre atualizações

Há vários pacotes de atualização disponíveis para alguns dos softwares afetados. Preciso instalar todas as atualizações listadas na tabela Softwares afetados para o software?
Sim. Os clientes devem aplicar todas as atualizações oferecidas para o software instalado em seus sistemas. Se várias atualizações se aplicarem, elas poderão ser instaladas em qualquer ordem.

Preciso instalar essas atualizações de segurança em uma sequência específica?
Não. Várias atualizações para um determinado sistema podem ser aplicadas em qualquer sequência.

Estou executando o Office 2010, que está listado como software afetado. Por que a atualização não está sendo oferecida?
A atualização não é aplicável ao Office 2010 no Windows Vista e versões posteriores do Windows porque o código vulnerável não está presente.

Esta atualização está sendo oferecida para software que não é especificamente indicado como afetado na tabela Softwares afetados e Classificações de gravidade de vulnerabilidade. Por que esta atualização está sendo oferecida?
Quando as atualizações abordam o código vulnerável existente em um componente compartilhado entre vários produtos do Microsoft Office ou compartilhado entre várias versões do mesmo produto do Microsoft Office, a atualização é considerada aplicável a todos os produtos e versões com suporte que contêm o componente vulnerável.

Por exemplo, quando uma atualização se aplica a produtos do Microsoft Office 2007, somente o Microsoft Office 2007 pode ser listado especificamente na tabela Softwares afetados. No entanto, a atualização pode se aplicar ao Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer ou qualquer outro produto do Microsoft Office 2007 que não esteja especificamente listado na tabela Softwares afetados. Além disso, quando uma atualização se aplica a produtos do Microsoft Office 2010, somente o Microsoft Office 2010 pode ser listado especificamente na tabela Softwares afetados. No entanto, a atualização pode se aplicar ao Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer ou qualquer outro produto do Microsoft Office 2010 que não esteja especificamente listado na tabela Softwares afetados.

Para obter mais informações sobre esse comportamento e ações recomendadas, consulte o artigo 830335 da Base de Dados de Conhecimento Microsoft. Para obter uma lista de produtos do Microsoft Office aos quais uma atualização pode se aplicar, consulte o artigo da Base de Dados de Conhecimento Microsoft associado à atualização específica.

Há algum pré-requisito para qualquer uma das atualizações oferecidas neste boletim para edições afetadas do Microsoft Lync 2013 (Skype for Business)? Sim. Os clientes que executam edições afetadas do Microsoft Lync 2013 (Skype for Business) devem primeiro instalar a atualização de 2965218 para o Office 2013 lançada em abril de 2015 e, em seguida, a atualização de segurança 3039779 lançada em maio de 2015. Para obter mais informações sobre essas duas atualizações de pré-requisito, consulte:

Existem atualizações não relacionadas à segurança que os clientes devem instalar junto com a atualização de segurança do Console do Microsoft Live Meeting?
Sim, além de lançar uma atualização de segurança para o Microsoft Live Meeting Console, a Microsoft lançou as seguintes atualizações não relacionadas à segurança para o Suplemento de Conferência do OCS para Outlook. Quando aplicável, a Microsoft recomenda que os clientes instalem essas atualizações para manter seus sistemas atualizados:

Suplemento de Conferência do OCS para Outlook (32 bits) (3115870)
Suplemento de Conferência do OCS para Outlook (64 bits) (3115870)

Consulte o Artigo 3115870 da Base de Dados de Conhecimento Microsoft para obter mais informações.

Por que a atualização do Lync 2010 Attendee (instalação em nível de usuário) só está disponível no Centro de Download da Microsoft?
A Microsoft está lançando a atualização para o Lync 2010 Attendee (instalação em nível de usuário) somente para o Centro de Download da Microsoft. Como a instalação em nível de usuário do Lync 2010 Attendee é manipulada por meio de uma sessão do Lync, métodos de distribuição, como a atualização automática, não são apropriados para esse tipo de cenário de instalação.

Informações de vulnerabilidade

Várias vulnerabilidades RCE do componente gráfico do Windows

Existem várias vulnerabilidades de execução remota de código quando a biblioteca de fontes do Windows manipula incorretamente fontes incorporadas especialmente criadas. Um invasor que explorar com êxito as vulnerabilidades poderá assumir o controle do sistema afetado. Um invasor pode instalar programas, exibir, alterar ou excluir dados, além de criar contas com direitos de usuário totais. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema correm menos riscos do que aqueles que têm direitos de usuário administrativo.

Há várias maneiras pelas quais um invasor pode explorar as vulnerabilidades:

Num cenário de ataque baseado na Web, um intruso poderia alojar um Web site especialmente concebido para explorar as vulnerabilidades e, em seguida, convencer os utilizadores a visualizar o Web site. Um invasor não teria como forçar os usuários a exibir o conteúdo controlado pelo invasor. Em vez disso, um invasor teria que convencer os usuários a agir, geralmente fazendo com que eles cliquem em um link em um email ou mensagem do Instant Messenger que leva os usuários ao site do invasor ou abrindo um anexo enviado por email.
Em um cenário de ataque de compartilhamento de arquivos, um invasor pode fornecer um arquivo de documento especialmente criado projetado para explorar as vulnerabilidades e, em seguida, convencer os usuários a abrir o arquivo de documento. A atualização de segurança elimina as vulnerabilidades corrigindo como a biblioteca de fontes do Windows manipula fontes incorporadas.

Na tabela Softwares afetados e classificações de gravidade de vulnerabilidade do Microsoft Office, o Painel de Visualização é um vetor de ataque para CVE-2016-3301, CVE-2016-3303 e CVE-2016-3304. A atualização de segurança elimina as vulnerabilidades corrigindo como a biblioteca de fontes do Windows manipula fontes incorporadas.

A tabela a seguir contém links para a entrada padrão de cada vulnerabilidade na lista Common Vulnerabilities and Exposures:

Título da vulnerabilidade	Número CVE	Divulgado publicamente	Explorado
Vulnerabilidade de RCE do componente gráfico do Windows	CVE-2016-3301	Não	Não
Vulnerabilidade de RCE do componente gráfico do Windows	CVE-2016-3303	Não	Não
Vulnerabilidade de RCE do componente gráfico do Windows	CVE-2016-3304	Não	Não

Fatores atenuantes

A Microsoft não identificou nenhum fator atenuante para essas vulnerabilidades.

Soluções Alternativas

A Microsoft não identificou quaisquer soluções alternativas para esta vulnerabilidade.

Implantação de atualização de segurança

Para obter informações sobre a Implantação da Atualização de Segurança, consulte o artigo da Base de Dados de Conhecimento Microsoft mencionado no Resumo Executivo.

Agradecimentos

A Microsoft reconhece os esforços daqueles na comunidade de segurança que nos ajudam a proteger os clientes por meio da divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.

Revisões

V1.0 (9 de agosto de 2016): Boletim publicado.

Página gerada em 09/08/2016 09:18-07:00. </https:>

Compartilhar via