MS09-012: Descrição da actualização de segurança para o isolamento de serviço do Windows: Abril de 2009

• Utilizadores domésticos:
  http://www.microsoft.com/portugal/protect/computer/updates/bulletins/200904.mspx

  (http://www.microsoft.com/portugal/protect/computer/updates/bulletins/200904.mspx)
  Ignorar os detalhes: Transfira as actualizações para o computador doméstico ou portátil a partir do Web site Microsoft Update agora:
  http://update.microsoft.com/microsoftupdate/

  (http://update.microsoft.com/microsoftupdate/)
• Profissionais de TI:
  http://www.microsoft.com/portugal/technet/seguranca/boletins/ms09-012.mspx

  (http://www.microsoft.com/portugal/technet/seguranca/boletins/ms09-012.mspx)

Como obter ajuda e suporte para esta actualização de segurança

Voltar ao topo | Submeter comentários

Problemas conhecidos relativamente a esta actualização de segurança

• Sintomas
  Após aplicar esta actualização num servidor que utiliza mais do que quatro núcleos de CPU e com o Microsoft ISA Server Standard Edition, o serviço Microsoft ISA Server Control não inicia. Além disso, é registado o ID de Evento 14109 no registo de aplicações.
  
  Causa
  Este problema poderá ocorrer se uma correcção disponibilizada após 7 de Fevereiro de 2007 for instalada antes da actualização de segurança ser instalada. Este problema ocorre devido a uma alteração no modo como o Windows comunica o número de CPU disponível. Esta alteração foi introduzida pela primeira vez na correcção 932730. A alteração faz com que o Windows Server 2003 comunique estas informações exactamente como o Windows Vista e o Windows Server 2008 comunicam as informações. Quando o Windows comunica mais do que quatro núcleos de CPU, o serviço ISA Server Control interpreta como mais do que quatro CPU. É assim accionado um alerta e, em seguida, o serviço Microsoft ISA Server Control, bem como quaisquer serviços dependentes são encerrados.
  
  Nota: a correcção 932730 não foi incluída em nenhum Windows Server 2003 service pack. Para mais informações sobre a correcção 932730, clique no número de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
  932370

  (http://support.microsoft.com/kb/932370/ )

  O número de processadores físicos activados com hyperthreading ou o número de processadores físicos multi-núcleo não foi comunicado correctamente no Windows Server 2003
  Para mais informações sobre como contornar este problema, visite a seguinte página Web da Microsoft:
  http://blogs.technet.com/isablog/archive/2009/04/18/ms09-012-and-isa-server-standard-edition-14109-failures.aspx

  (http://blogs.technet.com/isablog/archive/2009/04/18/ms09-012-and-isa-server-standard-edition-14109-failures.aspx)
  Para resolver este problema no ISA Server 2004, instale o pacote de correcções 970454. Para obter mais informações sobre este problema, clique no seguinte número de artigo para ver o artigo na Base de Dados de Conhecimento Microsoft:
  970454

  (http://support.microsoft.com/kb/970454/ )

  Descrição do pacote de correcções do ISA Server 2004: 2 de Junho de 2009
  Para resolver este problema no ISA Server 2006, instale o pacote de correcções 970441. Para obter mais informações sobre este problema, clique no seguinte número de artigo para ver o artigo na Base de Dados de Conhecimento Microsoft:
  970441

  (http://support.microsoft.com/kb/970441/ )

  CORRECÇÃO: O serviço de controlo do ISA Server não é iniciado depois de instalar a actualização MS09-012 num computador com o Windows Server 2003 que tenha mais do que 4 núcleos de CPU
  
  Nota: não foi disponibilizado qualquer patch para o ISA Server 2000 por este já não ter suporte base e visto este problema não constituir uma vulnerabilidade de segurança.
• Depois de aplicar esta actualização e de, a seguir, ser efectuada uma actualização directa de um sistema operativo de uma versão anterior para um novo sistema operativo, as alterações aplicadas pelo utilizador podem não ser mantidas nas seguintes subchaves do registo:
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\DefaultSecuredHost

  
  
  

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\CompatibleHostProviders

  
  
  

  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders
  Este problema pode ocorrer nos seguintes cenários de actualização:
  • Windows XP para Windows Vista
  • Windows Server 2003 para Windows Server 2008
  • Windows 2000 Server para Windows Server 2003
  Este problema pode ocorrer nos seguintes cenários de actualização:
  • Windows Vista para Windows 7
  • Windows Server 2008 para Service Packs mais recentes ou futuros sistemas operativos baseados em servidor.
  Para evitar o problema, crie uma cópia de segurança das subchaves do registo antes de efectuar a actualização directa. Depois de concluída a actualização e de o sistema ter sido corrigido com as actualizações de segurança, volte a aplicar as cópias de segurança das subchaves.

FAQ para fabricantes independentes de software (ISV) (COM)

1. O seu produto precisa de iniciar um processo de servidor COM sem serviço NT?
2. O servidor COM instanciado pelo seu produto é executado, por predefinição, no contexto de conta de um Serviço de Rede ou de um Serviço Local?

1. Transfira e instale o Process Explorer a partir do seguinte Web site da Microsoft:
   http://technet.microsoft.com/pt-pt/sysinternals/bb896653.aspx

   (http://technet.microsoft.com/pt-pt/sysinternals/bb896653.aspx)
2. Execute o Process Explorer como administrador local.
3. Clique em Ver, aponte para Vista do painel inferior e depois clique em Identificadores.
4. Clique no processo de servidor pretendido e depois procure Tipo = Token no painel inferior.
5. Execute todos os conjuntos de teste relativos ao seu produto.
6. Observe o painel inferior para ver todos os tokens detidos e saber se um token de sistema foi capturado.

1. Transfira e instale as Ferramentas de Depuração para Windows a partir do seguinte Web site da Microsoft:
   http://www.microsoft.com/whdc/devtools/debugging/default.mspx

   (http://www.microsoft.com/whdc/devtools/debugging/default.mspx)
2. Execute o WinDBG.exe como administrador local.
3. Clique em Ficheiro e depois em Depuração Kernel para iniciar o depurador de kernel local.
4. Clique em Ficheiro e depois em Anexar a um processo.
5. Clique no processo do servidor pretendido e depois em OK para anexar ao processo do servidor.
6. Defina o caminho do símbolo do depurador da seguinte forma: substitua o caminho de armazenamento a jusante para o DownstreamStore. Por exemplo, C:\Symbols.
   
   SRV*DownstreamStore*http://msdl.microsoft.com/download/symbols
7. Capture as informações relativas ao token do processo.
   Obtenha o endereço do token a partir da saída de !process e depois utilize o comando dt nt!_TOKEN para apresentar uma lista dos campos individuais da estrutura doTOKEN.
8. Observe o campo ImpersonationLevel do token.

• Instale o pacote MSRC.
• Efectue a seguinte alteração na configuração do servidor COM:
  HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{APPIDGUID} REG_DWORD AppIDFlags 0x2 /* Exemplo da utilização do valor do registo AppIDFlags HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{60EE1F45-C0DD-4A1F-AA44-D97424600A16} REG_DWORD AppIDFlags 0x2 */
  Nota: é necessário ter credenciais de Administrador Local para efectuar a alteração.
  
  Se um servidor COM NS/LS contendo tokens privilegiados não for um serviço NT ou não for um servidor RunAs COM, terá de ser convertido para uma destas configurações para evitar a vulnerabilidade.

• O instalador deve determinar se a seguinte chave do registo existe:
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\HotFix\KB956572
  Se a entrada do registo existir, a actualização de segurança 956572 encontra-se no sistema.

FAQ para administradores de sistemas (COM)

1. O seu produto precisa de iniciar um processo de servidor COM sem serviço NT?
2. O servidor COM iniciado pelo seu produto é executado, por predefinição, no contexto de conta de um Serviço de Rede ou de um Serviço Local?

FAQ para ISV (Services.exe)

1. O seu produto instala serviços iniciados através da utilização da estrutura SCM?
2. Os serviços instalados pelo seu produto são executados, por predefinição, no contexto de conta de um Serviço de Rede ou de um Serviço Local?
3. Se o serviço for executado no Windows Vista ou no Windows Server 2008, execute o seguinte comando a partir de uma linha de comandos elevada:
   SC.EXE QSIDTYPE <ServiceName>
   O valor indicado em SERVICE_SID_TYPE é NONE?
   
   Resultado:

   [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <Nome do Serviço> SERVICE_SID_TYPE: NENHUMA 

   Se a resposta a qualquer uma destas três perguntas for afirmativa, o seu serviço pode estar vulnerável. Para continuar a investigação para saber se o seu serviço está vulnerável, siga os passos relacionados com o Process Explorer indicados na Resposta 1 da secção "FAQ para fabricantes independentes de software (ISV) (COM)".

• Instale o pacote MSRC.
• Execute o seguinte comando a partir de uma linha de comandos elevada:
  SC.exe SIDTYPE <ServiceName> UNRESTRICTED
• Reinicie o serviço a partir do gestor de controlo de serviços.
• Confirme se o seu serviço obteve um SID de Serviço executando o seguinte comando:
  SC.exe QSIDTYPE <Nome do Serviço>
  Resultados:

  [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <Nome do Serviço> SERVICE_SID_TYPE: UNRESTRICTED  

• Se vir SERVICE_SID_TYPE = UNRESTRICTED, o seu serviço obteve um SID.
• Execute todos os casos de teste para se certificar de que nenhuma das funcionalidades fornecidas pelo seu serviço se encontra danificada.
• A sequência de comandos que se segue contribuirá para remover o SID de Serviço relativo ao serviço:
  SC.exe SIDTYPE <ServiceName> NONE
  SC.exe STOP <ServiceName>
  SC.exe START <ServiceName>

1. Altere a seguinte chave do registo:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\<ServiceName>\ServiceSidType = 1
2. Após esta actualização, o instalador deverá reiniciar o sistema.

• O instalador deve determinar se a seguinte chave do registo existe:
  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\HotFix\KB956572
  Se a entrada do registo existir, a actualização de segurança 956572 encontra-se no sistema.

FAQ para administradores de sistemas (Services.exe)

1. O seu produto instala serviços iniciados através da utilização da estrutura SCM?
2. Os serviços instalados pelo seu produto são executados, por predefinição, no contexto de conta de um Serviço de Rede ou de um Serviço Local?
   
   Nota: se o serviço for executado no Windows Vista ou no Windows Server 2008, execute o seguinte comando a partir de uma linha de comandos elevada para determinar o contexto:
   SC.exe QSIDTYPE <Nome do Serviço>
   Resultados:

   [SC] QueryServiceConfig2 SUCCESS SERVICE_NAME: <Nome do Serviço> SERVICE_SID_TYPE: UNRESTRICTED  

   Se a resposta a qualquer uma destas três perguntas for afirmativa, os serviços podem estar vulneráveis. Para proteger estes serviços, contacte o ISV proprietário do serviço. Se o serviço tiver sido criado internamente, siga os passos indicados na Resposta 1 da secção "FAQ para fabricantes independentes de software (ISV) (COM)".

FAQ para fabricantes independentes de software (ISV) (WMI)

1. Abra os ficheiros ".mof" para os Fornecedores WMI e verifique se qualquer um dos fornecedores tem um dos seguintes modelos de alojamento:
   • NetworkServiceHost
   • NetworkServiceHostToSelfHost
   • LocalServiceHost
   • NULL (só no caso do Windows Vista ou do Windows Server 2008)
2. Como parte do pacote de captura de token, só a pasta "A Receber" enviada pelos Fornecedores WMI está protegida por predefinição. Se o seu fornecedor for um fornecedor da pasta "A Receber", deve, preferencialmente, ficar protegida depois de instalar o pacote de captura de token. Para verificar esta situação, consulte os valores do registo na subchave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders. Se um fornecedor estiver protegido, deverá ver uma entrada semelhante à seguinte:

   <NameSpace>:_Win32Provider.Name ="<Nome do Fornecedor>" 	REG_SZ 	0.

3. Se o seu fornecedor constar desta lista, isso significa que o mesmo será iniciado em modo seguro.
4. Se o nome do fornecedor não aparecer indicado na chave do registo SecureHostProviders, e o modelo de alojamento for um dos que se encontram indicados no passo 1, isso significa que esse fornecedor será iniciado num Wmiprvse.exe não seguro, tornando o computador vulnerável a ataques de captura de token.

1. Inicie sessão como Administrador num computador que tenha o seu produto instalado.
2. Transfira e instale o Process Explorer a partir do seguinte Web site da Microsoft:
   http://technet.microsoft.com/pt-pt/sysinternals/bb896653.aspx

   (http://technet.microsoft.com/pt-pt/sysinternals/bb896653.aspx)
3. Execute o Process Explorer como administrador local.
4. Clique em Ver, aponte para Vista do painel inferior e depois clique em Identificadores.
5. Utilize o Gestor de Tarefas para identificar e fechar todos os processos Wmiprvse.exe em execução no contexto de Serviço de Rede ou Serviço Local.
6. Execute um caso de teste para a aplicação, que exerça uma consulta WMI utilizando um fornecedor WMI específico. Ao fazê-lo, será criado um novo processo WMIPrvSE.exe para servir a nova consulta WMI que acabou de executar.
7. Na barra de ferramentas do Process Explorer, certifique-se de que seleccionou Ver DLLs.
8. Observe o painel inferior para ver se o seu DLL foi carregado no WMIPrvSE.exe acabado de criar.
9. Faça duplo clique em WMIPrvSE.exe para abrir a caixa de diálogo Propriedades.
10. Clique no separador Segurança e certifique-se de que os dados que se seguem estão correctos:
    • O SID de início de sessão tem a forma (S-1-5-5-****).
    • O SID de início de sessão está também marcado como o proprietário.
    • SID de WMI para ServiceAccount {Local Service|Network Service} será marcado como proprietário.
      • SID de WMI para Serviço Local:
        S-1-5-86-1544737700-199408000-2549878335-3519669259-381336952
      • SID de WMI para Serviço de Rede:
        S-1-5-86-615999462-62705297-2911207457-59056572-3668589837
11. Clique em Permissão e confirme se nem Serviço de Rede nem Serviço Local aparecem na lista. Este resultado confirmará que o seu fornecedor está agora a ser iniciado em modo seguro.

• HKLM\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders
  
  Todos os fornecedores incluídos nesta chave serão sempre executados em modo seguro.
• HKLM \SOFTWARE\Microsoft\WBEM\CIMOM\CompatibleHostProviders
  
  Se um fornecedor estiver incluído nesta chave, será executado em modo não seguro. Esta chave é fornecida para que um ISV possa adicionar uma excepção para um fornecedor em particular que tenha problemas de compatibilidade ao ser executado em modo de segurança. Por predefinição, conterá 0 (zero) entradas.
• HKLM \SOFTWARE\Microsoft\WBEM\CIMOM\DefaultSecuredHost
  
  Se esta chave de registo global estiver definida como 1, iniciará todos os Fornecedores WMI no computador em modo seguro, independentemente de os mesmos estarem ou não incluídos em qualquer uma das chaves de registo anteriormente referidas. A Microsoft não predefiniu este valor como 1 porque não foi testado o comportamento de todas as aplicações possíveis de outros fabricantes com esta chave de registo definida como 1.

<NameSpace>:_Win32Provider.Name ="<Nome do Fornecedor>" 	REG_SZ 	0.

FAQ para o Administrador do Sistema (WMI)

1. Inicie sessão como Administrador num computador que tenha o seu produto instalado.
2. Transfira e instale o Process Explorer a partir do seguinte Web site da Microsoft:
   http://technet.microsoft.com/pt-pt/sysinternals/bb896653.aspx

   (http://technet.microsoft.com/pt-pt/sysinternals/bb896653.aspx)
3. Execute o Process Explorer como administrador local.
4. Clique em Ver, aponte para Vista do painel inferior e depois clique em Identificadores.
5. Utilizando o Gestor de Tarefas, identifique e feche todos os processos Wmiprvse.exe em execução no contexto de Serviço de Rede ou Serviço Local.
6. Execute um caso de teste para a aplicação, que exerça uma consulta WMI utilizando um Fornecedor WMI específico. Ao fazê-lo, será criado um novo processo WMIPrvSE.exe para servir a nova consulta WMI que acabou de executar.
7. Na barra de ferramentas do Process Explorer, certifique-se de que seleccionou Ver DLLs.
8. Observe o painel inferior para ver se o seu DLL foi carregado no WMIPrvSE.exe acabado de criar.
9. Faça duplo clique em WMIPrvSE.exe para abrir a caixa de diálogo Propriedades.
10. Clique no separador Segurança e, a seguir, certifique-se de que os dados que se seguem estão correctos:
    1. "Serviço de Rede" ou "Serviço Local" têm todas as permissões no processo Wmiprvse.exe.
    2. Certifique-se de que o SID de início de sessão (na forma S-1-5-5-**** ) não está marcado como proprietário.
    3. Certifique-se de que o SID de WMI para ServiceAccount {Local Service|Network Service} não foi criado. Ou seja, certifique-se de que não está visível em "Grupo".
       • SID de WMI para Serviço Local: S-1-5-86-1544737700-199408000-2549878335-3519669259-381336952
       • SID de WMI para Serviço de Rede: S-1-5-86-615999462-62705297-2911207457-59056572-3668589837

1. Abra o Editor do Registo.
2. Vá para a seguinte subchave de registo:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WBEM\CIMOM\SecuredHostProviders
3. Adicione um valor de registo para proteger o fornecedor WMI. Utilize o seguinte formato:

   <NameSpace>:_Win32Provider.Name ="<Nome do Fornecedor>" 	REG_SZ 	0

4. Reinicie o serviço WMI, executando os seguintes comandos:
   • Sc stop winmgmt
   • Sc start winmgmt

Voltar ao topo | Submeter comentários

• Os ficheiros aplicáveis a uma especificação (RTM, SPn) estão assinalados na coluna ?Requisito SP?.
• Além dos ficheiros listados nestas tabelas, esta actualização de software também instala um ficheiro de catálogo de segurança (KBnúmero.cat) associado que está assinado com uma assinatura digital da Microsoft.

• Os ficheiros aplicáveis a um determinado produto ou especificação (RTM, SPn) podem ser identificados examinando os números de versão dos ficheiros, conforme mostrado na tabela seguinte:
  Reduzir esta tabelaExpandir esta tabela

  Versão	Produto	Especificação	Ramo de serviço
  6.0.6000. 20xxx	Windows Vista	RTM	LDR
  6.0.6001. 22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR

• O Service Pack 1 está integrado na versão original do Windows Server 2008. Por isso, os ficheiros da especificação RTM aplicam-se apenas ao Windows Vista. Os ficheiros da especificação RTM possuem um número de versão 6.0.0000.xxxxxx.
• Os ficheiros MANIFEST (.manifest) e MUM (.mum) instalados em cada ambiente são listados separadamente. Os ficheiros MUM e MANIFEST, assim como os ficheiros de catálogo de segurança (.cat) associados, são essenciais para manter o estado do componente actualizado. Os ficheiros de catálogo de segurança (atributos não listados) são assinados com uma assinatura digital da Microsoft.