MS12-006: Vulnerabilidade no SSL/TLS pode permitir a divulgação de informações: 10 de janeiro de 2012

A Microsoft lançou o boletim de segurança MS12-006. Para exibir o boletim completo, visite um dos seguintes sites da Microsoft:

• Usuários domésticos:
  http://www.microsoft.com/pt-br/security/pc-security/bulletins/201201.aspx (http://www.microsoft.com/pt-br/security/pc-security/bulletins/201201.aspx)
  Pular os detalhes: Baixe agora as atualizações para seu computador doméstico ou laptop pelo site do Microsoft Update:
  http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=pt-br (http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=pt-br)
• Profissionais de TI:
  http://technet.microsoft.com/pt-br/security/bulletin/ms12-006 (http://technet.microsoft.com/pt-br/security/bulletin/ms12-006)

Como obter ajuda e suporte para esta atualização de segurança

Os usuários domésticos podem obter suporte gratuito pelo telefone 1-866-PCSAFETY nos Estados Unidos e Canadá ou contatando a subsidiária local da Microsoft. Para obter mais informações sobre como contatar sua subsidiária local da Microsoft para solucionar problemas de suporte com atualizações de segurança, visite o site de Suporte Internacional da Microsoft: Os clientes da América do Norte podem obter acesso instantâneo a suporte por email gratuito ilimitado ou a suporte individual por chat ilimitado visitando o seguinte site da Microsoft: Para clientes empresariais, o suporte para atualizações de segurança está disponível em seus contatos de suporte normais.

Duas soluções Fix it estão disponíveis.

• Solução Fix it para TLS 1.1 no Internet Explorer: A solução habilita o TLS 1.1, que não é afetado por essa vulnerabilidade, no Windows Internet Explorer. A maioria dos usuários padrões deve instalar essa solução Fix it.
• Solução Fix it para TLS 1.1 em servidores baseados no Windows: A solução habilita o TLS 1.1, que não é afetado pela vulnerabilidade.

As soluções Fix it descritas nesta seção não são destinadas a substituir qualquer atualização de segurança. É recomendável ter sempre as atualizações de segurança mais recentes instaladas. No entanto, oferecemos as soluções Fix it como alternativas para alguns cenários.

Para obter mais informações sobre as soluções alternativas, consulte o boletim de segurança MS12-006:  O boletim fornece mais informações sobre o problema e inclui o seguinte:

• Os cenários nos quais você pode aplicar ou desabilitar a solução alternativa
• Fatores de redução
• Soluções alternativas
• Perguntas mais frequentes

Especificamente, para ver esta informação, procure na seção de Informações sobre Vulnerabilidade e expanda o parágrafo sobre Alternativas no parágrafo Protocolos de Vulnerabilidade SSL e TLS - CVE-2011-3389.

Solução Fix it para TLS 1.1 no Internet Explorer

Para habilitar ou desabilitar esta solução Fix it, clique no botão Corrigir ou no link sob o cabeçalho Habilitar ou sob o cabeçalho Desabilitar. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas no Assistente Fix it.

Observações

• Esses assistentes podem estar disponíveis apenas em inglês. No entanto, as correções automáticas também funcionam em versões do Windows em outros idiomas.
• Se estiver usando um computador que não apresenta esse problema, você poderá salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador com o problema.

Solução Fix it para TLS 1.1 em servidores baseados no Windows

Para habilitar ou desabilitar esta solução Fix it, clique no botão Corrigir ou no link sob o cabeçalho Habilitar ou sob o cabeçalho Desabilitar. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas no Assistente Fix it.

Observações

• Esses assistentes podem estar disponíveis apenas em inglês. No entanto, as correções automáticas também funcionam em versões do Windows em outros idiomas.
• Se estiver usando um computador que não apresenta esse problema, você poderá salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador com o problema.

Problemas conhecidos com esta atualização de segurança

Após instalar esta atualização de segurança, você pode experimentar falha de autenticação ou perda de conectividade com alguns servidores HTTPS. Este problema ocorre porque esta atualização de segurança altera a forma que os registros são enviados ao servidor HTTPS.

Para desativar ou reativar temporariamente esta atualização de segurança, clique no botão Fix it ou no link do cabeçalho Desativar atualização de segurança ou no cabeçalho Reativar atualização de segurança. Clique em Executar na caixa de diálogo Download de Arquivo e siga as etapas descritas no assistente Corrigir.
Observações

• Esses assistentes podem estar disponíveis apenas em inglês. No entanto, as correções automáticas também funcionam em versões do Windows em outros idiomas.
• Se estiver usando um computador que não apresenta esse problema, você poderá salvar a correção automática em uma unidade flash ou em um CD para executá-la posteriormente no computador com o problema.

A seguinte tabela mostra os valores que são aplicados a estas soluções Fix it para o registro SendExtraRecord da entrada DWORD:

Problemas conhecidos e informações adicionais sobre esta atualização de segurança

Os artigos a seguir contêm informações adicionais sobre esta atualização de segurança em relação a versões de produtos individuais. Os artigos podem conter informações sobre problemas conhecidos. Se esse for o caso, o problema conhecido estará listado abaixo de cada link de artigo:

• 2585542  (http://support.microsoft.com/kb/2585542/pt-br/ ) MS12-006: Descrição da atualização de segurança do Webio, Winhttp e schannel no Windows: 10 de janeiro de 2012
• 2638806  (http://support.microsoft.com/kb/2638806/pt-br/ ) MS12-006: Descrição da atualização de segurança do Winhttp no Windows Server 2003 e Windows XP Professional x64 Edition: 10 de janeiro de 2012

Informações de Registro

Não recomendado Não recomendamos que você use o seguinte procedimento para desativar esta atualização de segurança. No entanto, fornecemos este procedimento para cenários nos quais você pode estar usando aplicativos incompatíveis com esta atualização de segurança, que permitem a divisão de Registros SSL para todos os aplicativos.

Importante Esta seção, método ou tarefa contém etapas que descrevem como modificar o Registro. No entanto, sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Portanto, certifique-se de seguir essas etapas cuidadosamente. Para obter mais proteção, faça um backup do Registro antes de modificá-lo. Dessa forma, você poderá restaurar o Registro se ocorrer um problema. Para obter informações adicionais sobre como fazer backup e restaurar o Registro, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento Microsoft:

Por padrão, esta atualização de segurança define o modo Aceitar no nível schannel devido aos problemas de compatibilidade do aplicativo. Para desativar esta atualização de segurança para todos os aplicativos do sistema, você deve adicionar um valor DWORD chamado SendExtraRecord que possui um valor de 2 para a seguinte subchave do Registro: Para adicionar esta entrada de Registro da entrada de registro schannel, siga estas etapas:

1. Clique em Iniciar, Executar, digite regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave do Registro:
   HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL
3. No menu Editar, aponte para Novo e clique em Valor DWORD.
4. Digite SendExtraRecord para o nome do DWORD e pressione ENTER.
5. Clique com o botão direito em SendExtraRecord e clique em Modificar.
6. Na caixa Dados do valor, digite 2 para desativar o Registro de divisão no schannel e clique em OK.
7. Saia do Editor do Registro.

Esta entrada do Registro pode ter três valores, que fornecem diferentes modos de operação: Com base em testes internos, descobrimos que não é possível definir o valor de Registro para 1, pois pode quebrar muitos cenários em uma empresa. Portanto, não incentivamos os usuários a usá-lo.

Problemas conhecidos com a ativação da entrada do Registro SendExtraRecord.

• Definir o valor de entrada do Registro SendExtraRecord para 1 impõe a divisão do Registro em cada chamada para criptografar os dados no schannel. Isso ocorre independente se o chamador envia o sinalizador Seguro durante a inicialização da sessão.
• Muitos aplicativos que usam o schannel são escritos de modo que o lado do receptor assume os dados do aplicativo que serão embalados em um único pacote. Isso ocorre mesmo que o aplicativo chame o schannel para descriptografar. Os aplicativos ignoram um sinalizador definido pelo schannel. O sinalizador indica ao aplicativo que não há mais dados a serem descriptografados e captados pelo receptor. Este método não segue o método prescrito pelo MSDN do uso do schannel. Como a atualização de segurança impõe a divisão do Registro, ocorre a quebra de tais aplicativos.
• Os aplicativos quebrados incluem produtos Microsoft e componentes na caixa. Os seguintes são exemplos de cenários que podem ser quebrados quando o valor do Registro SendExtraRecord é definido para 1:
• Todos os produtos SQL e aplicativos embutidos no SQL.
• Os Servidores de Terminal que possuam a Autenticação em Nível de Rede (NLA) ativada. Por padrão, a NLA está ativada no Windows Vista e versões posteriores do Windows.
• Alguns cenários de RRAS (Routing Remote Access Service).

Definir o valor do Registro SendExtraRecord para 1 impõe a divisão de Registro segura para todos os aplicativos que usam o Windows TLS/SSL. No entanto, esta configuração provavelmente terá problemas de compatibilidade de aplicativos. Portanto, recomendamos que os clientes configurem o TLS 1.1 e o TLS 1.2 em vez de usar esta configuração de registro. O TLS 1.1 e o TLS 1.2 não são vulneráveis a este problema.

Se um usuário pretende usar esta configuração do Registro, recomendamos que realizem totalmente os testes de compatibilidade do aplicativo antes de implementá-los. Alguns produtos comuns que são conhecidos por serem afetados por esta configuração incluem produtos Microsoft SQL, Windows Terminal Server e Windows Remote Access Server.

Pergunta: O que a Microsoft pode fazer para me ajudar a corrigir o meu aplicativo do servidor?
Resposta: Certifique-se de que o aplicativo pode lidar com a Fragmentação de Registros do aplicativo SSL/TLS, conforme descrito nos seguintes RFCs:

• TLS 1.0: http://www.ietf.org/rfc/rfc2246.txt paragraph 6.2.1 (http://www.ietf.org/rfc/rfc2246.txt)
• SSL 3.0: http://www.ietf.org/rfc/rfc6101.txt paragraph 5.2.1 (http://www.ietf.org/rfc/rfc6101.txt)

Observação: este é um artigo de ?PUBLICAÇÃO RÁPIDA? criado diretamente pela organização de suporte da Microsoft. As informações aqui contidas são fornecidas no presente estado, em resposta a questões emergentes. Como resultado da velocidade de disponibilização, os materiais podem incluir erros tipográficos e poderão ser revisados a qualquer momento, sem aviso prévio. Consulte os Termos de Uso (http://go.microsoft.com/fwlink/?LinkId=151500) para ver outras informações.