MS03-018: Patch Cumulativo para o Internet Information Services (ISS) de maio de 2003

A Microsoft lançou um patch cumulativo para o Internet Information Server (IIS) 4.0, o Internet Information Services (IIS) 5.0 e o IIS 5.1. Este patch inclui a funcionalidade de todos os patches de segurança que foram lançados para o IIS 4.0 desde o Windows NT 4.0 Service Pack 6a (SP6a), todos os patches de segurança que foram lançados para o IIS 5.0 desde o Windows 2000 Service Pack 2 (SP2) e todos os patches de segurança que foram lançados para o IIS 5.1. Além disso, esse patch inclui as correções para as seguintes vulnerabilidades de segurança recentemente descobertas que afetam o IIS 4.0.5.0 e 5.1:

• Uma vulnerabilidade de script CSS (cross-site scripting) que afeta os ISS 4.0, 5.0 e 5.1. Essa vulnerabilidade envolve a mensagem de erro que é retornada para alertar que o URL solicitado foi redirecionado. Um invasor que induz o usuário a clicar em um link no site malicioso pode retransmitir uma solicitação que contenha um script a um terceiro site que execute o IIS. Esta solicitação pode gerar a resposta do terceiro site (ainda incluindo o script) a ser enviado ao usuário. O script pode ser executado por meio da utilização de configurações de segurança de sites terceiros em vez das configurações de segurança do site do invasor.
• Uma saturação do buffer é causada porque o IIS 5.0 não valida corretamente as solicitações para os tipos específicos de páginas da Web que são conhecidas como server-side includes (inclusões do lado do servidor). Um invasor teria de ser capaz de carregar uma página inclusa no lado do servidor em um servidor IIS vulnerável. Se o invasor solicitar esta página, pode ocorrer uma saturação do buffer. Essa saturação do buffer permitiria que o invasor executasse o código de sua escolha no servidor com as permissões de nível de usuário.
• Uma negação de serviço de vulnerabilidade que seja resultado de uma falha no modo como o ISS 4.0 e o 5.0 alocam a memória solicita quando eles constroem cabeçalhos a serem retornados ao cliente da Web. Um invasor teria de ser capaz de carregar uma página ASP para um servidor IIS vulnerável. Quando o invasor utiliza uma página ASP, a página tenta retornar à um cabeçalho muito grande para o cliente da Web solicitante. Por causa do IIS não limitar a memória que pode ser utilizada nesse caso, isso pode fazer com que o IIS fique sem memória e falhe.
• A negação do serviço de vulnerabilidade causada porque o IIS 5.0 e o 5.1 não trabalham adequadamente com a condição de erro quando uma solicitação WebDAV muito longa é passada para eles. Um invasor poderia utilizar esse problema para fazer com que o IIS falhasse. Porém, por padrão, tanto o IIS 5.0 quanto o 5.1 reiniciam imediatamente após essa falha.

Fatores atenuantes para o redirecionamento de CSS:

• O IIS 6.0 não é prejudicado.
• A vulnerabilidade pode ser explorada somente se o invasor não induzir outro usuário a visitar a página da web e clicar em um link, ou induzi-lo a abrir uma mensagem em HTML.
• A página de destino deve estar em formato ASP que utiliza Response.Redirect para redirecionar o cliente para um novo URL com base no URL de entrada da solicitação atual.

Fatores atenuantes para a Saturação do buffer das páginas da Web de inclusão do lado do servidor:

• O IIS 4.0, o IIS 5.1 e o IIS 6.0 não são prejudicados.
• Por padrão, a ferramenta Lockdown do IIS desabilita o mapeamento do Ssinc.dll (http://www.microsoft.com/technet/security/tools/locktool.mspx
  (http://www.microsoft.com/technet/security/tools/locktool.mspx)
  site em inglês). Esta configuração bloqueia este tipo de ataque.
• Por padrão, o IIS 5.0 é executado em uma conta de usuário e não em uma conta do sistema. Portanto, um invasor que explore de forma bem-sucedida essa vulnerabilidade obteria somente as permissões de nível de usuário em vez das permissões de nível administrativo.
• Um invasor deve ser capaz de carregar arquivos no IIS Server.

Fatores atenuantes para Cabeçalhos de negação de serviço (DoS):

• O IIS 5.1 não é prejudicado.
• Um invasor deve ser capaz de carregar arquivos no IIS Server.
• O IIS 5.0 reinicia automaticamente após essa falha.

Fatores atenuantes para negação de serviço (DoS) de WebDAV:

• O IIS 6.0 não é prejudicado.
• O IIS 5.0 e o 5.1 reiniciam-se automaticamente após essa falha.
• Por padrão, a ferramenta Lockdown do IIS desabilita o WebDAV(http://www.microsoft.com/technet/security/tools/locktool.mspx
  (http://www.microsoft.com/technet/security/tools/locktool.mspx)
  site em inglês). Esta configuração bloqueia esse tipo de ataque.

CUIDADO Caso tenha um aplicativo sendo executado no IIS e ele atingir o esquema de metabase do IIS, a instalação da correção cumulativa de segurança cumulativa pode remover essas extensões e o aplicativo pode não funcionar corretamente. Para determinar se um aplicativo de terceiro atinge o esquema de metabase, contate o fabricante.

Alguns produtos ProClarity são conhecidos por serem afetados por essa correção de segurança cumulativa, incluindo os seguintes produtos:

• O ProClarity Enterprise Server 4.0 e posterior
• O ProClarity Analytics Server 5.0, 5.1 e 5.2

Para resolver esse problema ANTES de instalar a correção de segurança, use uma das seguintes opções:

• Crie um backup da metabase, instale a correção cumulativa de segurança e posteriormente restaure a metabase. (Observe que a Microsoft não recomenda isso devido à possíveis problemas de compatibilidade.)
  
  Para obter informações adicionais sobre como criar um backup de metabase, clique no número seguinte para ler o artigo na Base de Dados de Conhecimento da Microsoft:
  302573

  (http://support.microsoft.com/kb/302573/ )

  COMO: Fazer o Backup e restaurar o IIS
• Instalar o Microsoft Windows 2000 Service Pack 4 (SP4). O Windows 2000 SP4 inclui o pacote cumulativo de segurança.
• Contate o Atendimento Microsoft para receber um hotfix que corrija esse problema.

Caso já tenha instalado a correção cumulativa de segurança e tenha problemas com o aplicativo que atinge o esquema de metabase do IIS, o aplicativo deve redimensionar o esquema da metabase. Isso pode exigir a reinstalação do produto.

Informação sobre o patch de segurança

Para obter mais informações sobre como resolver essa vulnerabilidade, clique nos seguintes nomes de seção para visualizar as seções este artigo:

• Internet Information Services 5.1
• Internet Information Services 5.0
• Internet Information Server 4.0

Internet Information Services 5.1

Informações sobre Download

Os seguintes arquivos estão disponíveis para download no Centro de Download da Microsoft:

O Windows XP Professional (todos os idiomas)O Windows XP 64-bit Edition (todos os idiomas) Data de lançamento: 28 de maio de 2003

Para obter informações adicionais sobre como baixar arquivos de Suporte da Microsoft, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft: A Microsoft examinou esse arquivo em busca de vírus. A Microsoft utilizou o software de detecção de vírus mais atualizado disponível na data em que o arquivo foi publicado. O arquivo está armazenado em servidores de segurança avançada que ajudam a evitar qualquer alteração não autorizada ao arquivo.

Pré-requisitos

Esse patch exige que você já tenha o patch 329115 instalado. Se o 329115 não estiver instalado, os certificados do cliente serão rejeitados. Restaure essa funcionalidade, instalando o patch 329115. Para obter mais informações sobre o patch 329115, clique no seguinte número para ler o artigo na Base de Dados de Conhecimento da Microsoft: **Esse patch exige a versão já lançada do Windows XP ou do Windows XP Service Pack 1 (SP1). Para obter informações adicionais, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft: Informações sobre a instalação

Esse patch oferece suporte às seguintes opções de instalação:

• /?: Exibe a lista de opções de instalação.
• /u: Usa o Modo autônomo.
• /f: Força o encerramento de outros programas quando o computador é desligado.
• /n: Não faz backup de arquivos para remoção.
• /o: Substitui os arquivos OEM sem perguntar antes.
• /z: Não reinicia quando a instalação é concluída.
• /q: Usa o Modo silencioso (sem interação por parte do usuário).
• /l: Lista os hotfixes instalados.
• /x: Extrai os arquivos sem executar a instalação.

Para verificar se o patch está instalado no computador, confirme se há a seguinte chave do Registro: Informações sobre a implantação

Para instalar o patch sem qualquer intervenção por parte do usuário, execute a seguinte linha de comando: Para instalar o patch sem fazer com que o computador seja reiniciado, execute a seguinte linha de comando: Observação: Combine essas opções em uma única linha de comando.

Para obter mais informações sobre como implantar esse patch, utilizando o Software Update Services, visite a seguinte página no site da Microsoft:Requisitos de Reinicialização

Não é necessário reiniciar o computador após aplicar esse patch. Se aparecer uma caixa de diálogo que afirme que computador deve ser reiniciado após aplicar esse patch, você pode, seguramente, ignorá-la.

Informações sobre a remoção

Para remover essa atualização, use a ferramenta Adicionar ou remover programas no Painel de controle.

Os administradores do sistema podem usar o utilitário Spunist.exe para remover esse patch. O Spuninst.exe está na pasta %Windir%\$NTUninstallQ811114$\Spuninst e oferece suporte às seguintes opções de instalação:

• /?: Exibe a lista de opções de instalação.
• /u: Usa o Modo autônomo.
• /f: Força o encerramento de outros programas quando o computador é desligado.
• /z: Não reinicia quando a instalação é concluída.
• /q: Usa o Modo silencioso (sem interação com o usuário).

Informações sobre a substituição do patch

Esse patch substitui os demais que são discutidos nos seguintes artigos da Base de Dados de Conhecimento da Microsoft: Informações sobre o arquivo

A versão em inglês dessa correção apresenta os atributos de arquivo (ou posteriores) listados na seguinte tabela. As datas e os horários desses arquivos estão relacionados em formato UTC (hora universal cordenada). Ao visualizar as informações sobre o arquivo, elas são convertidas para a hora local. Para encontrar a diferença entre UTC e a hora local, use a guia Fuso horário na ferramenta Data e hora do Painel de controle. Os seguintes arquivos estão inclusos no suporte da instalação do patch: Verifique também os arquivos em que esse patch está instalado por meio da revisão das seguintes chaves do Registro:

Internet Information Services 5.0

Informação sobre o download

O seguinte arquivo está disponível para download no Centro de Download da Microsoft:

Todos os idiomas Data de lançamento: 28 de maio de 2003

Para obter informações adicionais sobre como baixar arquivos de Suporte da Microsoft, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft: A Microsoft examinou esse arquivo em busca de vírus. A Microsoft utilizou o software de detecção de vírus mais atualizado disponível na data em que o arquivo foi publicado. O arquivo está armazenado em servidores de segurança avançada que ajudam a evitar qualquer alteração não autorizada ao arquivo.

Pré-requisitos

Esse patch exige que você já tenha o patch 329115 instalado. Se o 329115 não estiver instalado, os certificados do cliente serão rejeitados. Restaure essa funcionalidade, instalando o patch 329115. Para obter mais informações sobre o patch 329115, clique no seguinte número para ler o artigo na Base de Dados de Conhecimento da Microsoft: Esse patch requer o Windows 2000 Service Pack 2 (SP2) ou o Windows 2000 Service Pack 3 (SP3). Para obter informações adicionais, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft: Informações sobre a instalação

Esse patch oferece suporte às seguintes opções de instalação:

• /?: Exibe a lista de opções de instalação.
• /u: Usa o Modo autônomo.
• /f: Força o encerramento de outros programas quando o computador é desligado.
• /n: Não faz backup de arquivos para remoção.
• /o: Substitui os arquivos OEM sem perguntar antes.
• /z: Não reinicia quando a instalação é concluída.
• /q: Usa o Modo silencioso (sem interação com o usuário).
• /l: Lista os hotfixes instalados.
• /x: Extrai os arquivos sem executar a instalação.

Para verificar se o patch está instalado no computador, confirme se há a seguinte chave do Registro: Informações sobre a implantação

Para instalar o patch sem qualquer intervenção por parte do usuário, execute a seguinte linha de comando: Para instalar o patch sem fazer com que o computador seja reiniciado, execute a seguinte linha de comando: Observação Combine essas opções em uma única linha de comando.

Para obter informações sobre como implantar esse patch utilizando o Software Update Services, visite o seguinte site da Microsoft: Requisitos de Reinicialização

Não é necessário reiniciar o computador após aplicar esse hotfix. O instalador paralisa os serviços corretos, aplica o patch e reinicia os serviços. Porém, se o instalador não puder paralisar os serviços por alguma razão, reinicie o computador após concluída a instalação. Se ocorrer esse comportamento , aparecerá uma mensagem que pede para que o computador seja reiniciado.

Informações sobre a remoção

Para remover essa atualização, use a ferramenta Adicionar ou remover programas do Painel de controle.

Os administradores do sistema podem usar o utilitário Spunist.exe para remover esse patch. O Spuninst.exe está na pasta %Windir%\$NTUninstallQ811114$\Spuninst. Esse utilitário oferece suporte às seguintes opções de instalação:

• /?: Exibe a lista de opções de instalação.
• /u: Usa o Modo autônomo.
• /f: Força o encerramento de outros programas quando o computador é desligado.
• /z: Não reinicia quando a instalação é concluída.
• /q: Usa o Modo silencioso (sem interação com o usuário).

Informações sobre a substituição do patch

Esse patch substitui os demais que são discutidos nos seguintes artigos da Base de Conhecimento da Microsoft: Informações sobre o arquivo

A versão em inglês dessa correção apresenta os atributos de arquivo (ou posteriores) listados na tabela a seguir. As datas e os horários desses arquivos estão relacionados em formato UTC (hora universal coordenada). Ao visualizar as informações sobre o arquivo, elas são convertidas para a hora local. Para encontrar a diferença entre UTC e a hora local, use a guia Fuso horário na ferramenta Data e hora do Painel de controle. Os seguintes arquivos estão inclusos para oferecer suporte à instalação do patch: Você também pode verificar os arquivos que este patch instalou por meio da revisão das seguintes chaves do Registro:

Internet Information Server 4,0

Informação sobre o Download

O seguinte arquivo está disponível para download no Centro de Download da Microsoft:

Todos os idiomas Data de lançamento: 28 de maio de 2003

Para obter informações adicionais sobre como baixar arquivos de suporte da Microsoft, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft: A Microsoft examinou esse arquivo em busca de vírus. A Microsoft utilizou o software de detecção de vírus mais atualizado disponível na data em que o arquivo foi publicado. O arquivo está armazenado em servidores de segurança avançada que ajudam a evitar qualquer alteração não autorizada ao arquivo.

Pré-requisitos

O Microsoft Internet Information Server (IIS) não é designado para utilização no Windows NT Server 4.0, no Terminal Server Edition e não recebe suporte. A Microsoft recomenda aos usuários que utilizem o IIS 4.0 no Microsoft NT Server 4.0, no Terminal Server Edition, protegendo seus sistemas por meio da remoção do IIS 4.0.

Esse patch exige que você já tenha o patch 329115 instalado. Se o 329115 não estiver instalado, os certificados do cliente serão rejeitados. Restaure esta funcionalidade, instalando o patch 329115. Para obter mais informações sobre o patch 329115, clique no seguinte número para ler o artigo na Base de Dados de Conhecimento da Microsoft: Esse patch exige o Windows NT 4.0 Service Pack 6a (SP6a). Para obter informações adicionais, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft: Informações sobre a instalação

Esse patch oferece suporte às seguintes opções de instalação:

• /y: Executa a remoção (somente com /m ou /q).
• /f: Força o fechamento dos programas durante o desligamento.
• /n: Não cria uma pasta Uninstall.
• /z: Não reinicia quando a atualização é concluída.
• /q: Usa os Modos silencioso ou autônomo sem interface do usuário (essa opção está contida em /m).
• /m : Usa o Modo autônomo com interface do usuário.
• /l: Lista os hotfixes instalados.
• /x: Extrai os arquivos sem executar a instalação.

Para verificar se o patch está instalado no computador, confirme se há a seguinte chave do Registro: Informações sobre a implantação

Para instalar o patch sem qualquer intervenção com o usuário, execute a seguinte linha de comando: Para instalar o patch sem fazer com que o computador seja reiniciado, execute a seguinte linha de comando: Observação Combine essas opções em uma única linha de comando.

Para obter informações sobre como implantar esse patch utilizando os Software Update Services, visite o seguinte site da Microsoft: Requisitos de Reinicialização

Para instalar este patch sem reiniciar o computador, execute essa etapas:

1. Pare todos os serviços do IIS.
2. Instale o patch que contém o hotfix utilizando a opção /z.
3. Reinicie os serviços do IIS.

Informações sobre a remoção

Os administradores do sistema podem usar o utilitário Hotfix.exe para remover esse patch. O Hotfix.exe está na pasta %Windir%\$NTUninstallQ811114$ e oferece suporte às seguintes opções do de instalação:

• /y: Executa a remoção (somente com /m ou /q).
• /f: Força o fechamento dos programas durante o desligamento.
• /n: Não cria uma pasta Uninstall.
• /z: Não reinicia quando a atualização é concluída.
• /q: Usa os Modos silencioso ou autônomo sem interface do usuário (essa opção está contida em /m).
• /m : Usa o Modo autônomo com interface do usuário.
• /l: Lista os hotfixes instalados.
• /x: Extrai os arquivos sem executar a instalação.

Informações sobre a substituição do patch

Esse patch substitui os demais que são discutidos nos seguintes artigos da Base de Dados de Conhecimento da Microsoft: Informações sobre o arquivo

A versão em inglês dessa correção apresenta os atributos de arquivo (ou posteriores) listados na tabela a seguir. As datas e os horários desses arquivos estão relacionados em formato UTC (hora universal coordenada). Ao visualizar as informações sobre o arquivo, elas são convertidas para a hora local. Para encontrar a diferença entre UTC e a hora local, use a guia Fuso horário na ferramenta Data e hora do Painel de controle. Os seguintes arquivos podem ser incluídos para oferecer suporte à instalação do patch.

A Microsoft confirmou que esse problema pode causar um certo grau de vulnerabilidade na segurança dos produtos Microsoft que estão listados no começo desse artigo.

Para obter informações adicionais sobre essa vulnerabilidade, visite o seguinte site da Microsoft: Clientes que utilizam o Site Server devem estar cientes de que o problema previamente documentado envolve erros de autenticação intermitente afetando esse patch e um número menor de outros patches. Para obter informações adicionais, clique no número abaixo para ler o artigo na Base de Dados de Conhecimento da Microsoft: Esses patches não incluem as correções para as vulnerabilidades que envolvem os produtos que não são IIS, tais como as Extensões do Microsoft FrontPage Server e do Microsoft Index Server, embora esses produtos estejam muito próximos ao IIS e geralmente são instalados nos servidores do IIS. Porém, há uma exceção. A correção da vulnerabilidade que afeta o Index Server está inclusa nesse patch por causa da gravidade do problema para os servidores IIS. (Essa vulnerabilidade é discutida no Boletim de Segurança da Microsoft MS01-033. Site em inglês) Quando esse artigo foi escrito, os Boletins de Segurança da Microsoft que discutiam essas vulnerabilidades eram os seguintes: As correções para as seguintes vulnerabilidades que afetam o IIS 4.0 não estão inclusas no patch porque elas exigem a ação administrativa em vez de de uma alteração do software . Os administradores devem verificar se eles não só aplicam esse patch, mas também executam as ações administrativas descritas nos seguintes boletins: