MS10-029: Vulnerabilidade no componente ISATAP do Windows pode permitir falsificação

A Microsoft lançou o boletim de segurança MS10-029. Para exibir o boletim completo, visite um dos seguintes sites da Microsoft (os sites podem estar em inglês):

• Usuários domésticos:
  http://www.microsoft.com/brasil/protect/computer/updates/bulletins/201004.mspx (http://www.microsoft.com/brasil/protect/computer/updates/bulletins/201004.mspx)
  Ignorar os detalhes : Baixe agora as atualizações para o seu computador doméstico ou laptop no site do Microsoft Update:
  http://update.microsoft.com/microsoftupdate (http://update.microsoft.com/microsoftupdate)
• Profissionais de TI:
  http://www.microsoft.com/brasil/technet/security/bulletin/MS10-029.mspx (http://www.microsoft.com/brasil/technet/security/bulletin/MS10-029.mspx)

Como obter ajuda e suporte para esta atualização de segurança

Para usuários domésticos, o suporte gratuito está disponível pelo telefone 1-866-PCSAFETY (Estados Unidos e Canadá) ou entrando em contato com a sua subsidiária local da Microsoft. Para obter mais informações sobre como contatar sua subsidiária local da Microsoft sobre problemas de suporte com atualizações de segurança, visite o site de Suporte Internacional da Microsoft: Clientes da América do Norte podem obter acesso instantâneo ao suporte por email gratuito ilimitado ou ao suporte individual por bate-papo ilimitado visitando o seguinte site da Microsoft: Para clientes empresariais, o suporte para atualizações de segurança está disponível através dos seus contatos de suporte normais.

Descrição das alterações de funcionalidade neste boletim de segurança

Esta atualização de segurança implementa dois recursos no ISATAP do IPv6:

• PRL (Lista de Roteadores Possíveis): A PRL permite que clientes ISATAP realizem a verificação de endereços de origem em pacotes ISATAP recebidos. A PRL está documentada no RFC 5214 padrão da Internet. Depois que você instalar a atualização de segurança, uma aplicação adicional ocorrerá com base nas informações contidas na PRL. Isso ajuda a proteger os clientes contra a vulnerabilidade descrita no boletim de segurança MS10-029.
• NUD (Detecção de Inacessibilidade do Vizinho): A NUD é usada por roteadores ISATAP para verificar se um vizinho é acessível ou não. A NUD está documentada no RFC 4861 padrão da Internet. Em virtude dos altos requisitos de compatibilidade, a NRD é desativada por padrão após a instalação desta atualização de segurança. Por isso, a NUD exige configuração manual.

Como a PRL (Lista de Roteadores Possíveis) funciona?

A Lista de Roteadores Possíveis é um recurso que mantém uma lista de seus roteadores ISATAP em cada cliente ISATAP. Esses endereços são obtidos na resolução DNS do roteador ISATAP. Após a instalação dessa atualização, o Windows executará uma validação adicional usando as informações contidas na PRL.

Quando um pacote é recebido, ele será processado somente se uma das duas condições a seguir for atendida:

• O endereço IPv4 de origem corresponde aos últimos 32 bits do endereço IPv6 de origem.
• O endereço IPv4 de origem corresponde a um endereço na Lista de Roteadores Possíveis. Isso indica que o pacote foi encapsulado pelo roteador ISATAP do cliente.

Considere a seguinte situação, por exemplo: Nesse cenário, o host A envia um pacote ISATAP encapsulado para o host com o endereço IPv4 de origem de 1.1.1.1. Um endereço IPv6 de origem falsificado existe no pacote encapsulado, por exemplo, 2ffe::5efe:3.3.3.3. Sem a PRL, o host B responderia ao 3.3.3.3 em vez do 1.1.1.1.

No entanto, quando a PRL é usada, ela detecta a tentativa de falsificação e não processará o pacote.

Como a NUD (Detecção de Inacessibilidade do Vizinho) funciona?

A NUD (Detecção de Inacessibilidade do Vizinho) é um novo recurso que é implantado por esta atualização em roteadores ISATAP. A NUD validará um vizinho acessível ou não antes de encaminhar pacotes. Isso ajuda a garantir operações corretas na rede e evita tipos de loops de roteamento específicos.

Antes de encaminhar um pacote ao habilitar esse recurso, o roteador enviará uma NS (Solicitação do Vizinho) para o nó ISATAP de destino. O nó receberá a solicitação e, se ele não tiver o endereço IPv6 em questão, o nó ISATAP não responderá à NS e descartará o pacote. Se o endereço estiver atribuído ao nó ISATAP receptor, ele responderá com uma NA (Notificação do Vizinho). Ao receber essa NA, o nó originador encaminhará o pacote.

Como devo implantar a NUD na minha rede?

Os clientes devem ter cuidado ao implantar a NUD. Se nem todos os nós ISATAP da rede forem compatíveis com a NUD, a sua habilitação poderá resultar em problemas de conectividade. Um roteador ISATAP que envia uma Solicitação do Vizinho para um dispositivo não compatível com a NUD não receberá uma resposta. Por isso, o roteador ISATAP pode concluir que a rota está indisponível.

A NUD é compatível com sistemas com base no Windows 7 e no Windows Server 2008 R2. No entanto, ela deve ser habilitada manualmente.

Em sistemas com base no Windows XP, no Windows Server 2003, no Windows Vista e no Windows Server 2008, é necessário instalar a atualização de segurança 978338 e, em seguida, habilitar a NUD manualmente.

Recomendamos a verificação com qualquer fornecedor de roteadores habilitados por ISATAP para determinar se o dispositivo implementa a NUD e é compatível com o processamento de pacotes NS e NA.

Como faço para habilitar a Detecção de Inacessibilidade do Vizinho?

Habilitar NUD em sistemas com base no Windows Vista, no Windows Server 2008, no Windows 7 e no Windows Server 2008 R2

Para habilitar a Detecção de Inacessibilidade do Vizinho, siga estas etapas:

1. Digite o seguinte comando em um prompt de comando e pressione ENTER:
   netsh int ipv6 set interface ISATAP interface-name nud=enabled
2. Reinicie o computador.

Para desabilitar a Detecção de Inacessibilidade do Vizinho, siga estas etapas:

1. Digite o seguinte comando em um prompt de comando e pressione ENTER:
   netsh int ipv6 set interface ISATAP interface-name nud=di store=persistent
2. Reinicie o computador.

Habilitar a NUD em sistemas com base no Windows XP e no Windows Server 2003

Importante Esta seção, este método ou esta tarefa contém etapas que descrevem como modificar o Registro. No entanto, sérios problemas poderão ocorrer caso você modifique o Registro incorretamente. Portanto, execute essas etapas cuidadosamente. Para obter mais proteção, faça um backup do Registro antes de modificá-lo. Dessa forma, se ocorrer algum problema, você poderá restaurar o Registro. Para obter mais informações sobre como fazer backup e restaurar o Registro, clique no número abaixo para exibir o artigo da Base de Dados de Conhecimento Microsoft: Para habilitar a NUD, adicione um valor DWORD chamado NUDEnabledOnISATAP que tenha valor de 1 para a subchave do Registro a seguir: Para desabilitar a correção, altere a entrada DWORD NUDEnabledOnISATAP para usar um valor de 0 (zero).

Para adicionar esses valores do Registro, siga as seguintes etapas:

1. Clique em Iniciar, em Executar, digite regedit na caixa Abrir e clique em OK.
2. Localize e clique na seguinte subchave do Registro:
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\
3. No menu Editar, aponte para Novo e clique em Chave.
4. Digite GlobalParams para o nome da chave e pressione ENTER.
5. Clique duas vezes no arquivo GlobalParams para abri-lo.
6. No menu Editar, aponte para Novo e clique em Valor DWORD.
7. Digite NUDEnabledOnISATAP como o nome do DWORD e pressione ENTER.
8. Clique com o botão direito do mouse em NUDEnabledOnISATAP e clique em Modificar.
9. Na caixa Dados do valor, digite 1 para habilitar a NUD e clique em OK.
   
   Observação Para desabilitar a NUD, digite 0 (zero) e clique em OK.
10. Saia do Editor do Registro e reinicie o computador.

A versão em inglês (Estados Unidos) desta atualização de software instala arquivos que têm os atributos listados nas tabelas a seguir. As datas e horas desses arquivos estão listadas em formato UTC (Tempo Universal Coordenado). As datas e horas desses arquivos em seu computador local são exibidas em sua hora local com a diferença do horário de verão atual. Além disso, as datas e horas também podem ser alteradas quando você realizar determinadas operações nos arquivos.

Informações sobre o arquivo do Windows XP e do Windows Server 2003

• Os arquivos que se aplicam a uma etapa específica (RTM, SPn) e ramificação do serviço (QFE, GDR) não observados nas colunas ?Requisito de SP? e ?Ramificação do serviço?.
• As ramificações do serviço GDR contêm somente as correções amplamente disponibilizadas para resolver problemas críticos bastante conhecidos. As ramificações do serviço QFE contêm hotfixes, além de correções amplamente disponibilizadas.
• Além dos arquivos listados nessas tabelas, esta atualização de software também instala um arquivo associado do catálogo de segurança (KBnúmero.cat) que está assinado com uma assinatura digital da Microsoft.

Para todas as versões compatíveis com base em x86 do Windows XP

Para todas as versões com base em x64 compatíveis do Windows Server 2003 e do Windows XP Professional x64 edition

Para todas as versões com base em x86 compatíveis do Windows Server 2003

Para todas as versões compatíveis com base em IA-64 do Windows Server 2003

Informações sobre o arquivo do Windows Vista e do Windows Server 2008

• Os arquivos que se aplicam a uma etapa específica (RTM, SPn) e ramificação do serviço (LDR, GDR) podem ser identificados ao examinar os números da versão do arquivo, como mostrado na tabela a seguir:
  Recolher esta tabelaExpandir esta tabela

  Versão	Produto	Etapa	Ramificação do serviço
  6.0.6000.16xxx	Windows Vista	RTM	GDR
  6.0.6000.20xxx	Windows Vista	RTM	LDR
  6.0.6001.18xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	GDR
  6.0.6001.22xxx	Windows Vista SP1 e Windows Server 2008 SP1	SP1	LDR
  6.0.6002.18xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	GDR
  6.0.6002.22xxx	Windows Vista SP2 e Windows Server 2008 SP2	SP2	LDR

• O Service Pack 1 está integrado na versão de lançamento do Windows Server 2008. Por isso, os arquivos da etapa RTM se aplicam somente ao Windows Vista. Os arquivos da etapa RTM tem um número de versão 6.0.0000.xxxxxx.
• As ramificações do serviço GDR contêm somente as correções amplamente disponibilizadas para resolver problemas críticos bastante conhecidos. As ramificações do serviço LDR contêm hotfixes, além de correções amplamente disponibilizadas.
• Os arquivos MANIFEST (.manifest) e os arquivos MUM (.mum) instalados para cada ambiente são listados separadamente. Os arquivos MUM e MANIFEST, e os arquivos associados do catálogo de segurança (.cat) são importantes para manter o estado do componente atualizado. Os arquivos do catálogo de segurança (atributos não listados) são assinados com uma assinatura digital da Microsoft.

Para todas as versões baseadas em x86 compatíveis do Windows Vista e Windows Server 2008

Para todas as versões baseadas em x64 compatíveis do Windows Vista e Windows Server 2008

Para todas as versões compatíveis com base em IA-64 do Windows Server 2008

Informações adicionais sobre o arquivo do Windows Vista e Windows Server 2008

Arquivos adicionais para todas as versões baseadas em x86 compatíveis do Windows Vista e Windows Server 2008

Arquivos adicionais para todas as versões baseadas em x64 compatíveis do Windows Vista e Windows Server 2008

Arquivos adicionais para todas as versões baseadas em IA-64 compatíveis com o Windows Server 2008