MS08-068: Vulnerabilidade no SMB pode permitir execução remota de código

A Microsoft publicou o boletim de segurança MS08-068. Para ver o boletim de segurança completo, visite um dos seguintes Web sites da Microsoft:

• Utilizadores domésticos:
  http://www.microsoft.com/portugal/athome/security/update/bulletins/200811.mspx (http://www.microsoft.com/portugal/protect/computer/updates/bulletins/200811.mspx)
  Ignore os detalhes: Transfira as actualizações para o computador doméstico ou portátil a partir do Web site Microsoft Update agora:
  http://update.microsoft.com/microsoftupdate (http://update.microsoft.com/microsoftupdate/)
• Profissionais de TI:
  http://www.microsoft.com/portugal/technet/seguranca/boletins/MS08-068.mspx (http://www.microsoft.com/portugal/technet/seguranca/boletins/MS08-068.mspx)

Como obter ajuda e suporte para esta actualização de segurança

Os utilizadores domésticos dispõem de suporte gratuito através do número 1-866-PCSAFETY nos EUA e no Canadá ou contactando a subsidiária local da Microsoft. Para mais informações sobre como contactar a subsidiária local da Microsoft relativamente a problemas de suporte de actualizações de segurança, visite o seguinte Web site de Suporte Internacional: Os clientes da América do Norte também podem obter acesso imediato a suporte gratuito ilimitado por correio electrónico ou a suporte individual ilimitado por chat, visitando o seguinte Web site da Microsoft: No caso de clientes empresariais, o suporte para actualizações de segurança está disponível através dos contactos de suporte normais.

Problemas conhecidos relativamente a esta actualização de segurança

Sintomas

Depois de aplicar esta actualização de segurança, aplicações como o Microsoft SQL Server ou Serviços de Informação Internet (IIS) poderão falhar quando efectuarem pedidos de autenticação NTLM locais.

Causa

Este problema ocorre porque o NTLM (NT LAN Manager) processa as diferentes convenções de nomenclatura como entidades remotas em vez de entidades locais. Poderá ocorrer uma falha de autenticação local quando o cliente calcular e colocar na cache a resposta correcta ao desafio NTLM enviado pelo servidor na memória "lsass" local antes de a resposta ser enviada novamente para o servidor. Quando o código de servidor do NTLM localiza a resposta recebida na cache "lsass" local, o código não respeita o pedido de autenticação, processando-o como um ataque de repetição. Este comportamento origina uma falha de autenticação local.

Resolução

Para resolver este problema, tem de desactivar a protecção de reflexão para que os sistemas afectados possam ser autenticados. Para obter mais informações sobre como fazer isso, clique no seguinte número de artigo para visualizar o artigo da Base de Dados de Conhecimento da Microsoft:

Como desactivar a protecção de reflexão NTLM

Importante Esta secção, método ou tarefa contém passos que explicam como alterar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo de forma incorrecta. Assim, certifique-se de que segue estes passos cuidadosamente. Para uma maior segurança, efectue uma cópia de segurança do registo antes de o modificar. Deste modo, pode restaurar o registo se ocorrer um problema. Para mais informações sobre como efectuar uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento da Microsoft:
Para desactivar a protecção de reflexão NTLM, tem de modificar uma chave do Registo no computador cliente. Para o fazer, siga estes passos no computador cliente:

1. Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave, no Registo:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. No menu Editar, aponte para Novo e clique em Valor DWORD.
4. Escreva DisableLoopbackCheck para o nome da DWORD e prima ENTER.
5. Clique com o botão direito do rato em DisableLoopbackCheck e clique em Modificar.
6. Na caixa Dados do valor, escreva 1 e clique em OK.
7. Saia do Editor de registo e, em seguida, reinicie o computador.

Nota Tem de reiniciar o computador para que esta alteração produza efeitos.

O efeito da desactivação da protecção de reflexão NTLM

Uma vez que a protecção de reflexão NTLM faz parte da correcção para esta vulnerabilidade do SMB, a desactivação da protecção de reflexão NTLM num sistema afectado, ao definir DisableLoopbackCheck como 1, devolve o sistema a um estado de vulnerabilidade. Por conseguinte, recomendamos vivamente que utilize a chave de registo BackConnectionHostNames, se necessário.

Como reactivar a protecção de reflexão NTLM

Para reactivar a protecção de reflexão NTLM, tem de modificar uma entrada do Registo no computador cliente. Para o fazer, siga estes passos no computador cliente:

1. Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave, no Registo:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
3. Clique com o botão direito do rato em DisableLoopbackCheck e clique em Modificar.
4. Na caixa Dados do valor, escreva 0 e clique em OK.
5. Saia do Editor de registo e, em seguida, reinicie o computador.

Nota Tem de reiniciar o computador para que esta alteração produza efeitos.

Como desactivar a protecção de reflexão NTLM para um SPN específico

Pode desactivar a protecção de reflexão NTLM para um SPN (Service Principal Name) específico que esteja a causar a interrupção da autenticação correspondente. Para o fazer, siga estes passos no computador cliente:

1. Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave, no Registo:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
3. No menu Editar, aponte para Novo e, em seguida, clique em Valor de Múltiplas Cadeias.
4. Escreva BackConnectionHostNames para o nome do Valor de Múltiplas Cadeias e prima ENTER.
   
   Nota Se a entrada do Registo BackConnectionHostNames existir como REG_DWORD, tem de eliminar a entrada do Registo BackConnectionHostNames.
5. Clique com o botão direito do rato em BackConnectionHostNames e clique em Modificar.
6. Na caixa Dados do valor, escreva o CNAME ou o alias de DNS utilizado para as partilhas locais no computador e clique em OK.
   
   Nota Tem de escrever cada nome de anfitrião numa linha separada.
7. Saia do Editor de registo e, em seguida, reinicie o computador.

Nota Tem de reiniciar o computador para que esta alteração produza efeitos.

Efeito da desactivação da protecção de reflexão NTLM para um SPN específico

Uma vez que a protecção de reflexão NTLM faz parte da correcção desta vulnerabilidade SMB, a desactivação da protecção de reflexão NTLM num sistema afectado colocará o sistema novamente num estado vulnerável relativamente ao SPN específico para o qual a protecção de reflexão foi desactivada.

Como reactivar a protecção de reflexão NTLM para um SPN específico

Para o fazer, siga estes passos no computador cliente:

1. Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave, no Registo:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0
3. Clique com o botão direito do rato em BackConnectionHostNames e clique em Modificar.
4. Na caixa Dados do valor, elimine o CNAME ou o alias de DNS utilizado para as partilhas locais no computador e clique em OK.
   
   Nota Tem de escrever cada nome de anfitrião numa linha separada.
5. Saia do Editor de registo e, em seguida, reinicie o computador.

Nota Tem de reiniciar o computador para que esta alteração produza efeitos.

Informações sobre os ficheiros

A versão inglesa (Estados Unidos) desta actualização de software instala ficheiros que têm os atributos listados nas tabelas seguintes. As datas e horas destes ficheiros são indicadas no formato de Hora Universal Coordenada (UTC). As datas e horas destes ficheiros são apresentadas no computador local com a hora local e com a compensação da hora de Verão (DST) actual. Além disso, as datas e horas podem ser alteradas quando são executadas determinadas operações nos ficheiros.

Para todas as edições suportadas do Microsoft Windows 2000 Service Pack 4

Notas informativas sobre os ficheiros do Windows XP e do Windows Server 2003

• Os ficheiros aplicáveis a uma especificação (RTM, SPn) e ramo de serviço (QFE, GDR) específicos estão anotados nas colunas "Requisito SP" e "Ramo de serviço".
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço QFE contêm outras correcções além das correcções amplamente distribuídas.
• Além dos ficheiros listados nestas tabelas, esta actualização de software instala também um ficheiro de catálogo de segurança (KBnúmero.cat) associado que tem uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 suportadas do Windows XP

Para todas as versões baseadas em x64 suportadas do Windows Server 2003 e do Windows XP Professional x64 Edition

Para todas as versões baseadas em x86 suportadas do Windows Server 2003

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2003

Notas informativas dos ficheiros do Windows Vista e do Windows Server 2008

• Os ficheiros aplicáveis a um produto, especificação (RTM, SPn) e ramo de serviço (LDR, GDR) específicos podem ser identificados através dos números de versão dos ficheiros, conforme mostrado na tabela seguinte.
  Reduzir esta tabelaExpandir esta tabela

  Versão	Produto	Especificação	Ramo de serviço
  6.0.600 0. 16xxx	Windows Vista	RTM	GDR
  6.0.600 0. 20xxx	Windows Vista	RTM	LDR
  6.0.600 1. 18xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	GDR
  6.0.600 1. 22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR

• O Service Pack 1 está integrado na versão original do Windows Server 2008. Por isso, os ficheiros da especificação RTM aplicam-se apenas ao Windows Vista. Os ficheiros da especificação RTM possuem um número de versão 6.0.0000.xxxxxx.
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço LDR incluem correcções, para além das correcções amplamente distribuídas.
• Os ficheiros MANIFEST (.manifest) e MUM (.mum) instalados em cada ambiente são listados separadamente. Os ficheiros MUM e MANIFEST, assim como os ficheiros de catálogo de segurança (.cat) associados, são essenciais para manter o estado do componente actualizado. Os ficheiros de catálogo de segurança (atributos não listados) têm uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 do Windows Server 2008 e do Windows Vista suportadas

Para todas as versões baseadas em x64 do Windows Server 2008 e do Windows Vista suportadas

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2008

Informações sobre ficheiros adicionais para o Windows Server 2008 e para o Windows Vista

Ficheiros adicionais para todas as versões baseadas em x86 do Windows Server 2008 e do Windows Vista suportadas

Ficheiros adicionais para todas as versões baseadas em x64 do Windows Server 2008 e do Windows Vista suportadas

Ficheiros adicionais para todas as versões baseadas em IA-64 suportadas do Windows Server 2008