Você está offline; aguardando reconexão

MS02-013: O miniaplicativo Java pode redirecionar tráfego do navegador

Este artigo foi arquivado. É oferecido "como está" e não será mais atualizado.
Aviso
A atualização do Microsoft virtual machine (Microsoft VM) que foi listada anteriormente neste artigo não está mais disponível. Para obter mais informações, visite as seguintes páginas da Microsoft:
Sintomas
Uma vulnerabilidade de sequestro de sessão existe no Microsoft virtual machine (Microsoft VM) que pode permitir que um miniaplicativo Java mal-intencionado redirecione silenciosamente todo tráfego do navegador para o host do miniaplicativo sem o conhecimento do usuário. Depois que um invasor possuir o tráfego do navegador redirecionado, ele ou ela pode tomar qualquer medida ou qualquer combinação de medidas que ele ou ela escolher, incluindo a seguinte:
  • Gerenciar a solicitação do navegador.
  • Registrar as informações da sessão.
  • Encaminhar a solicitação para o destino pretendido.
OBSERVAÇÃO: Esta capacidade pode permitir que uma parte mal-intencionada registre as informações da sessão de um usuário e possivelmente pesquise por nomes de usuário, senhas ou números de cartão de crédito que são enviados em texto simples (não criptografado).

Um miniaplicativo mal-intencionado que tenta explorar esta vulnerabilidade estaria ativo até o usuário fechar todas as instâncias do Internet Explorer que estiverem abertas.

Esta vulnerabilidade pode apenas ser explorada se o Microsoft Internet Explorer estiver configurado para acessar os recursos do Internet por meio de um servidor proxy. Os usuários cujos navegadores não estão configuradas para usar um servidor proxy, não correm risco com essa vulnerabilidade.

Se um ataque que explora esta vulnerabilidade captura qualquer tráfego seguro HTTP (HTTPS), o tráfego HTTPS não pode ler em texto simples, pois o HTTPS está criptografado usando o SSL (Secure Sockets Layer). No entanto, os nomes de usuários e senhas que são enviados usando o HTTPS são muito menos vulneráveis do que as informações que são enviadas em texto simples usando o HTTP.
Causa
Esta vulnerabilidade ocorre devido ao modo como determinadas solicitações de serviço proxy em Java são manipuladas. Quando você configura o Internet Explorer para usar os serviços de proxy, um programa Java particularmente criado (às vezes chamado de um miniaplicativo) pode explorar esta vulnerabilidade para encaminhar tráfego do navegador.
Situação
A Microsoft confirmou que esse problema pode causar um grau de vulnerabilidade de segurança na Microsoft virtual machine. Este problema foi corrigido pela primeira vez no Windows 2000 Service Pack 3.
Mais Informações
Para determinar o número de compilação do Microsoft VM em um computador que está executando o Windows 98, Windows 98 Second Edition (SE) ou Windows Millennium Edition (Me), siga estas etapas:
  1. Clique em Iniciar e em Executar.
  2. Na caixa de texto Abrir, digite comando e clique em OK.
  3. No prompt do comando, digite o seguinte comando e pressione ENTER: 
    jview
    Observe que as informações da versão aparecem na primeira linha como "Versão n.nn.nnnn", onde nnnn é o número de compilação. Por exemplo, 5.00.3802 é compilação 3802 do Microsoft VM.
Para determinar o número de compilação do Microsoft VM em um computador que está executando o Windows NT 4.0, Windows 2000 ou Windows XP, siga estas etapas:
  1. Clique em Iniciar e em Executar.
  2. Na caixa Abrir, digite cmd e clique em OK.
  3. No prompt do comando, digite o seguinte comando e pressione ENTER: 
    jview
    Observe que as informações da versão aparecem na primeira linha como "Versão n.nn.nnnn", onde nnnn é o número de compilação. Por exemplo, 5.00.3802 é compilação 3802 do Microsoft VM.
Referências
Para obter mais informações sobre esta vulnerabilidade, visite os seguintes sites da Microsoft: Para obter informações adicionais sobre esta o Microsoft virtual machine, clique no número de artigo abaixo para visualizar o artigo na Base de Dados de Conhecimento Microsoft:
169803 INFORMAÇÕES: Lista histórica de veículos de envio do Microsoft VM
Para informações de suporte sobre Visual J++ e SDK para Java, visite o seguinte site da Microsoft:
security_patch
Propriedades

ID do Artigo: 300845 - Última Revisão: 03/27/2014 14:26:00 - Revisão: 8.0

  • Microsoft Virtual Machine para Java
  • kbarchive kbqfe kbbug kbfix kbjava kbsecbulletin kbsechack kbsecurity kbsecvulnerability kbwin2000sp3fix KB300845
Comentários