MS10-029: Vulnerabilidade no componente ISATAP do Windows pode permitir fraude

A Microsoft publicou o boletim de segurança MS10-029. Para ver o boletim de segurança completo, visite um dos seguintes Web sites da Microsoft:

• Utilizadores domésticos:
  http://www.microsoft.com/portugal/protect/computer/updates/bulletins/201004.mspx (http://www.microsoft.com/portugal/protect/computer/updates/bulletins/201004.mspx)
  Ignorar os detalhes: Transfira as actualizações para o computador doméstico ou portátil a partir do Web site Microsoft Update agora:
  http://update.microsoft.com/microsoftupdate (http://update.microsoft.com/microsoftupdate)
• Profissionais de TI:
  http://www.microsoft.com/portugal/technet/seguranca/boletins/MS10-029.mspx (http://www.microsoft.com/portugal/technet/seguranca/boletins/MS10-029.mspx)

Como obter ajuda e suporte para esta actualização de segurança

Os utilizadores domésticos dispõem de suporte gratuito através do número 1-866-PCSAFETY nos Estados Unidos e no Canadá ou contactando a subsidiária local da Microsoft. Para mais informações sobre como contactar a subsidiária local da Microsoft relativamente a problemas de suporte com actualizações de segurança, visite o seguinte Web site de Suporte Internacional: Os clientes da América do Norte também podem obter acesso imediato e ilimitado ao suporte gratuito por correio electrónico ou ao suporte individual ilimitado por chat, visitando o seguinte Web site da Microsoft: No caso de clientes empresariais, o suporte para actualizações de segurança está disponível através dos contactos de suporte normais.

Descrição das alterações de funcionalidades neste boletim de segurança

Esta actualização de segurança implementa duas funcionalidades no Protocolo de Endereçamento Automático de Túneis Intralocais (ISATAP, Intra-Site Automatic Tunnel Addressing Protocol) IPv6:

• Lista de Routers Potenciais (PRL, Potential Router List):A PRL permite que os clientes ISATAP efectuem a verificação de endereços de origem em pacotes de ISATAP recebidos. A PRL está documentada no Internet Standard RFC 5214. Depois de instalar esta actualização de segurança, as informações na PRL originarão imposições suplementares. Isto ajuda a proteger os clientes da vulnerabilidade descrita no boletim de segurança MS10-029.
• Detecção de Indisponibilidade do Vizinho (NUD, Neighbor Unreachability Detection): Os routers de ISATAP utilizam a NUD para verificar se é possível comunicar com um vizinho. A NUD está documentada no Internet Standard RFC 4861. Devido aos elevados requisitos de compatibilidade, depois de instalar esta actualização de segurança, a NUD estará desactivada por predefinição. Consequentemente, terá de configurá-la manualmente.

Como funciona a Lista de Routers Potenciais (PRL, Potential Router List)?

A Lista de Routers Potenciais é uma funcionalidade que mantém uma lista em cada cliente ISATAP dos routers de ISATAP desses clientes. Estes endereços são obtidos a partir da resolução de DNS no router do ISATAP. Depois de instalar esta actualização, o Windows utilizará as informações incluídas na PRL para efectuar uma validação suplementar.

Quando é recebido um pacote, este só é processado se for observada uma das seguintes condições:

• O endereço de origem IPv4 corresponde aos últimos 32 bits do endereço de origem IPv6.
• O IPv4 corresponde a um endereço na Lista de Routers Potenciais. Isto indica se o router de ISATAP do cliente enviou o pacote através de um túnel.

Por exemplo, considere o seguinte cenário: Neste cenário, o anfitrião A envia um pacote por túnel ISATAP para o anfitrião B com o endereço de origem IPv4 1.1.1.1. O pacote enviado por túnel contém um endereço de origem IPv6 fraudulento - por exemplo, 2ffe::5efe:3.3.3.3. Sem a PRL, o anfitrião B responderia para o endereço 3.3.3.3. e não para o 1.1.1.1.

No entanto, a utilização da PRL permite detectar a tentativa de fraude e o pacote não é processado.

Como funciona a Detecção de Indisponibilidade do Vizinho (NUD, Neighbor Unreachability Detection)?

A NUD é uma nova funcionalidade que esta actualização implementa em routers de ISATAP. Antes de reencaminhar pacotes, a NUD confirma se é possível comunicar com um vizinho. Isto ajuda a garantir que as operações da rede são efectuadas correctamente e a evitar tipos específicos de ciclos de encaminhamento.

Com esta funcionalidade activada, o router, antes de reencaminhar um pacote, envia uma Solicitação de Vizinho (NS, Neighbor Solicitation) para o nó do ISATAP de destino. Este nó recebe a solicitação e, se não tiver o endereço IPv6 em causa, o nó do ISATAP não responderá à SV e rejeitará o pacote. Se o endereço for atribuído ao nó do ISATAP de recepção, este responderá com um Anúncio de Vizinho (NA, Neighbor Advertisement). Depois de o NA ter sido recebido, o nó criado reencaminhará o pacote.

Como devo implementar a NUD na minha rede?

Os clientes devem ter muita atenção ao implementar a NUD. Se algum dos nós do ISATAP não suportar a NUD, activá-la poderá originar problemas de conectividade. Um router de ISATAP que envie uma Solicitação de Vizinho para um dispositivo que não suporte a NUD não receberá uma resposta. Consequentemente, o router do ISATAP concluiria que a rota está indisponível.

A NUD é suportada em sistemas baseados em Windows 7 e Windows Server 2008 R2. Contudo, tem de ser activada manualmente.

Nos sistemas baseados em Windows XP, Windows Server 2003, Windows Vista e Windows Server 2008, tem de instalar a actualização de segurança 978338 e, depois, activar manualmente a NUD.

Recomendamos que confirme junto dos fornecedores externos de routers com ISATAP activado se os respectivos dispositivos permitem implementar a NUD e suportam o processamento de pacotes de NS e NA.

Como activo a Detecção de Indisponibilidade do Vizinho?

Activar a NUD em sistemas baseados no Windows Vista, Windows Server 2008, Windows 7 e Windows Server 2008 R2

Para activar a Detecção de Indisponibilidade do Vizinho, siga estes passos:

1. Escreva o seguinte comando a partir de uma linha de comandos e prima ENTER:
   netsh int ipv6 set interface ISATAP interface-name nud=enabled
2. Reinicie o computador.

Para desactivar a Detecção de Indisponibilidade do Vizinho, siga estes passos:

1. Escreva o seguinte comando a partir de uma linha de comandos e prima ENTER:
   netsh int ipv6 set interface ISATAP interface-name nud=di store=persistent
2. Reinicie o computador.

Activar a NUD em sistemas baseados em Windows XP e Windows Server 2003

Importante: esta secção, método ou tarefa contém passos que explicam como modificar o registo. No entanto, poderão ocorrer problemas graves se modificar o registo de forma incorrecta. Assim, certifique-se de que segue estes passos cuidadosamente. Para uma maior segurança, efectue uma cópia de segurança do registo antes de o modificar. Deste modo, pode restaurar o registo se ocorrer um problema. Para mais informações sobre como efectuar uma cópia de segurança e restaurar o registo, clique no número de artigo que se segue para visualizar o artigo na Base de Dados de Conhecimento Microsoft: Para activar a NUD, adicione um valor DWORD com o nome NUDEnabledOnISATAP com um valor 1 à seguinte subchave do registo: Para desactivar a correcção, altere o valor da entrada DWORD NUDEnabledOnISATAP para zero (0).

Para adicionar estes valores do registo, siga os seguintes passos:

1. Clique em Iniciar, clique em Executar, escreva regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave, no Registo:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\
3. No menu Editar, aponte para Novo e clique em Chave.
4. Escreva GlobalParams para o nome da chave e prima ENTER.
5. Faça duplo clique na chave GlobalParams para a abrir.
6. No menu Editar, aponte para Novo e clique em Valor DWORD.
7. Escreva NUDEnabledOnISATAP para o nome de DWORD e prima ENTER.
8. Clique com o botão direito do rato em NUDEnabledOnISATAP e, depois, clique em Modificar.
9. Na caixa Dados do valor, escreva 1 para activar a NUD e, depois, clique em OK.
   
   Nota: para desactivar a NUD, escreva zero (0) e, depois, clique em OK.
10. Saia do Editor de Registo e reinicie o computador.

A versão em inglês (Estados Unidos) desta actualização de software instala ficheiros que têm os atributos listados nas tabelas seguintes. As datas e horas destes ficheiros são indicadas no formato de Hora Universal Coordenada (UTC). As datas e horas destes ficheiros são apresentadas no computador local com a hora local e com a compensação da hora de Verão (DST) actual. Além disso, as datas e horas podem ser alteradas quando são executadas determinadas operações nos ficheiros.

Informações sobre ficheiros do Windows XP e do Windows Server 2003

• Os ficheiros aplicáveis a uma especificação (RTM, nSPn) e ramo de serviço (QFE, GDR) específicos estão anotados nas colunas "Requisito SP" e "Ramo de serviço".
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço QFE contêm outras correcções além das correcções amplamente distribuídas.
• Além dos ficheiros listados nestas tabelas, esta actualização de software também instala um ficheiro de catálogo de segurança (KBnúmero.cat) associado que está assinado com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 do Windows XP suportadas

Para todas as versões baseadas em x64 do Windows Server 2003 e do Windows XP Professional x64 Edition suportadas

Para todas as versões baseadas em x86 do Windows Server 2003 suportadas

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2003

Informações sobre ficheiros do Windows Vista e do Windows Server 2008

• Os ficheiros aplicáveis a um produto, especificação (RTM, SPn) e ramo de serviço (LDR, GDR) específicos podem ser identificados examinando os números de versão dos ficheiros, conforme mostrado na tabela seguinte:
  Reduzir esta tabelaExpandir esta tabela

  Versão	Produto	Especificação	Ramo de serviço
  6.0.6000. 16xxx	Windows Vista	RTM	GDR
  6.0.6000. 20xxx	Windows Vista	RTM	LDR
  6.0.6001. 18xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	GDR
  6.0.6001. 22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR
  6.0.6002. 18xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	GDR
  6.0.6002. 22xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	LDR

• O Service Pack 1 está integrado na versão original do Windows Server 2008. Por isso, os ficheiros da especificação RTM aplicam-se apenas ao Windows Vista. Os ficheiros da especificação RTM possuem um número de versão 6.0.0000.xxxxxx.
• Os ramos de serviço GDR contêm apenas as correcções amplamente distribuídas para resolver problemas críticos generalizados. Os ramos de serviço LDR incluem outras correcções para além das correcções amplamente distribuídas.
• Os ficheiros MANIFEST (.manifest) e MUM (.mum) instalados em cada ambiente são listados separadamente. Os ficheiros MUM e MANIFEST, assim como os ficheiros de catálogo de segurança (.cat) associados, são essenciais para manter o estado do componente actualizado. Os ficheiros de catálogo de segurança (atributos não listados) são assinados com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 suportadas do Windows Vista e do Windows Server 2008

Para todas as versões baseadas em x64 suportadas do Windows Vista e do Windows Server 2008

Para todas as versões baseadas em IA-64 suportadas do Windows Server 2008

Informações sobre ficheiros adicionais para o Windows Vista e o Windows Server 2008

Ficheiros adicionais para todas as versões baseadas em x86 suportadas do Windows Vista e do Windows Server 2008

Ficheiros adicionais para todas as versões baseadas em x64 suportadas do Windows Vista e do Windows Server 2008

Ficheiros adicionais para todas as versões baseadas em IA-64 suportadas do Windows Server 2008