MS02-013: Miniaplicativos Java podem redirecionar o tráfego do navegador

Existe uma vulnerabilidade de seqüestro de sessão no Microsoft VM (Microsoft Virtual Machine) que poderia permitir que um miniaplicativo Java criado de forma mal-intencionada redirecionasse silenciosamente todo o tráfego do navegador para o host do miniaplicativo sem o conhecimento do usuário. Depois do invasor se apossar do tráfego redirecionado do navegador, ele ou ela poderia agir ou fazer uma combinação de ações escolhidas, incluindo o seguinte:

• Manipular a solicitação do navegador.
• Registrar as informações da sessão.
• Encaminhar a solicitação para o destino pretendido.

OBSERVAÇÃO: Essa capacidade poderia permitir que um terceiro mal-intencionado registrasse as informações da sessão de um usuário e possivelmente pesquisasse nomes de usuário, senhas ou números de cartão de crédito enviados em texto sem formatação (não-criptografado).

Um miniaplicativo mal-intencionado que tenta explorar essa vulnerabilidade ficaria ativo até que o usuário fechasse todas as instâncias abertas do Internet Explorer.

Essa vulnerabilidade só poderá ser explorada se o Microsoft Internet Explorer estiver configurado para acessar os recursos da Internet por meio de um servidor proxy. Os usuários, cujos navegadores não estão configurados para usar um servidor proxy, não correm risco com essa vulnerabilidade.

Se um ataque que explora essa vulnerabilidade capturar um tráfego HTTP (HTTPS) seguro, o tráfego HTTPS não poderá ser lido em texto sem formatação, pois o HTTP estará criptografado ao usar SSL (Secure Sockets Layer). Portanto, os nomes de usuário e as senhas enviados usando HTTPS são muito menos vulneráveis que as informações enviadas em texto sem formatação usando HTTP.

Essa vulnerabilidade ocorre devido ao modo como certas solicitações para o serviço proxy em Java são manipuladas. Ao configurar o Internet Explorer para usar serviços proxy, um programa Java particularmente criado (às vezes chamado de miniaplicativo) poderia explorar essa vulnerabilidade para encaminhar o tráfego do navegador.

Para resolver esse problema, instale o pacote "810030: Atualização de segurança do Microsoft VM" do seguinte site do Windows Update:. Para obter informações adicionais sobre essa atualização, clique no seguinte número para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:

A Microsoft confirmou que esse problema pode causar um certo nível de vulnerabilidade no Microsoft Virtual Machine. Esse problema foi corrigido primeiro no Windows 2000 Service Pack 3.

Para determinar o número da versão do Microsoft VM em um computador que esteja executando o Windows 98, Windows 98 Second Edition (SE) ou Windows Millennium Edition (Me), siga essas etapas:

1. Clique em Iniciar e em Executar.
2. Na caixa de texto Abrir, digite command e clique em OK.
3. No prompt do comando, digite o seguinte comando e pressione ENTER:
   jview
   Note que as informações de versão aparecem na primeira linha como "Versão n.nn.nnnn", em que nnnn é o número da versão. Por exemplo, 5.00.3802 é o Microsoft VM versão 3802.

Para determinar o número da versão do Microsoft VM em um computador que esteja executando o Windows NT 4.0, o Windows 2000 ou o Windows XP, siga essas etapas:

1. Clique em Iniciar e em Executar.
2. Na caixa de texto Abrir, digite cmd e clique em OK.
3. No prompt do comando, digite o seguinte comando e pressione ENTER:
   jview
   Note que as informações de versão aparecem na primeira linha como "Versão n.nn.nnnn", em que nnnn é o número da versão. Por exemplo, 5.00.3802 é o Microsoft VM versão 3802.

Para obter informações adicionais sobre como instalar a Microsoft VM silenciosamente sem reiniciar o seu computador, clique no número abaixo para visualizar o artigo na Base de Dados de Conhecimento da Microsoft: Para instalar silenciosamente o Microsoft VM versão 3805 para Microsoft Windows 2000 (hotfix) sem reiniciar o computador, utilize a seguinte linha de comando:

Para obter informações adicionais sobre essa vulnerabilidade, visite os seguintes sites da Microsoft na Web: Para obter informações adicionais sobre o Microsoft Virtual Machine, clique no número abaixo para visualizar o artigo na Base de Dados de Conhecimento da Microsoft: Para consultar os artigos da Base de Dados de Conhecimento da Microsoft mais recentes e outras informações de suporte sobre Visual J++ e SDK para Java, consulte os seguintes sites da Microsoft na Web: