Modelo do MSRC ppDocument

Boletim de Segurança da Microsoft MS15-047 - Importante

Vulnerabilidades no Microsoft SharePoint Server podem permitir a execução remota de código (3058083)

Publicado em: 12.05.15

Versão: 1.0

Sinopse

Esta atualização de segurança elimina vulnerabilidades no software de produtividade e servidor do Microsoft Office. As vulnerabilidades podem permitir execução remota de código se um atacante autenticado enviar conteúdo da página especialmente criada a um servidor SharePoint. O invasor que conseguir explorar essas vulnerabilidades pode executar código arbitrário no contexto de segurança da conta de serviço W3WP no site do SharePoint de destino.

Esta atualização de segurança foi classificada como Importantepara edições com suporte do Microsoft SharePoint Server 2007, Microsoft SharePoint Server 2010, Microsoft SharePoint Foundation 2010, Microsoft SharePoint Server 2013 e Microsoft SharePoint Foundation 2013. Para obter mais informações, consulte a seção Software Afetado.

Esta atualização de segurança aborda as vulnerabilidades corrigindo como o servidor do SharePoint limpa o conteúdo da página especialmente criado. Para obter mais informações sobre as vulnerabilidades, consulte a seção Informações sobre vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3058083 da Base de Dados de Conhecimento da Microsoft.

Software Afetado

As seguinte versões ou edições de software foram afetadas. As versões ou edições que não estão listadas já passaram de seu ciclo de vida do suporte ou não foram afetadas. Para determinar o ciclo de vida do suporte para sua versão ou edição de software, consulte Ciclo de vida do suporte da Microsoft

Microsoft Server Software

**Microsoft SharePoint Server** **Componente** **Impacto máximo à segurança** **Avaliação de gravidade agregada** **Atualizações substituídas**
**Microsoft SharePoint Server 2007**
[Microsoft SharePoint Server 2007 Service Pack 3 (edições de 32 bits)](http://www.microsoft.com/downloads/details.aspx?familyid=c5b74cbd-f7c7-465a-adf9-2ce147394e84) (2760412) Não Aplicável Execução de código remota Importante 2687405 no [MS12-066](https://technet.microsoft.com/pt-br/library/security/ms12-066)
[Microsoft SharePoint Server 2007 Service Pack 3 (edições de 64 bits)](http://www.microsoft.com/downloads/details.aspx?familyid=72466e6e-0999-40ab-a1ad-7c6234c0e9ef) (2760412) Não Aplicável Execução de código remota Importante 2687405 no [MS12-066](https://technet.microsoft.com/pt-br/library/security/ms12-066)
**Microsoft SharePoint Server 2010**
Microsoft SharePoint Server 2010 Service Pack 2 [Microsoft SharePoint Foundation 2010 Service Pack 2](http://www.microsoft.com/downloads/details.aspx?familyid=abf3894c-c5d0-4d9f-bcb9-8913a7852143) (3017815) Execução de código remota Importante 2956208 no [MS15-022](https://technet.microsoft.com/pt-br/library/security/ms15-022)
[Microsoft SharePoint Server 2010 Service Pack 2](http://www.microsoft.com/downloads/details.aspx?familyid=230dbd3d-55dd-4e00-a172-a1fcbaac2bab) (2956192) Não Aplicável Execução de código remota Importante 2837598 no [MS15-022](https://technet.microsoft.com/pt-br/library/security/ms15-022)
**Microsoft SharePoint Server 2013**
Microsoft SharePoint Server 2013 Service Pack 1 [Microsoft SharePoint Foundation 2013 Service Pack 1](http://www.microsoft.com/downloads/details.aspx?familyid=f80f78e0-5d96-4015-835f-a0d9519f091d) (3054792) Execução de código remota Importante 2956175 no [MS15-022](https://technet.microsoft.com/pt-br/library/security/ms15-022)
 

Perguntas frequentes de atualização

Por que alguns dos arquivos de atualização listados neste boletim também são indicados em outros boletins lançados em maio? Vários dos arquivos de atualização listados neste boletim também são indicados em outros boletins que estão sendo lançados em maio devido a sobreposições no software afetado. Embora os boletins diferentes resolver vulnerabilidades de segurança separadas, as atualizações de segurança foram consolidadas onde possível e apropriado. Portanto alguns arquivos idênticos atualização estão presentes em vários boletins.

Observe que os arquivos de atualização idênticos que estão sendo lançados com vários boletins não precisam ser instalados mais de uma vez.

Existem vários pacotes de atualização disponíveis para alguns dos Software Afetado. Eu devo instalar todas as atualizações listadas na tabela de Software Afetado para o software?
Sim. Os clientes devem aplicar todas as atualizações oferecidas para o software instalado em seus sistemas.

Classificação de gravidade e Identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo possível da vulnerabilidade. Para obter informações referentes à probabilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e ao impacto à segurança, dentro de 30 dias a partir do lançamento deste boletim de segurança, consulte o Índice de exploração no resumo de boletins de maio.

Microsoft Server Software

**A Classificação de gravidade de vulnerabilidade e Impacto máximo de segurança por software afetado**
**Software Afetado** [**Vulnerabilidades de conteúdo da página do Microsoft SharePoint – CVE-2015-1700**](http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-1700) **Avaliação de gravidade agregada**
**Microsoft SharePoint Server 2007**
Microsoft SharePoint Server 2007 Service Pack 3 (edições de 32 bits) (2760412) **Importante** Execução de código remota **Importante**
Microsoft SharePoint Server 2007 Service Pack 3 (edições de 64 bits) (2760412) **Importante** Execução de código remota **Importante**
**Microsoft SharePoint Server 2010**
Microsoft SharePoint Foundation 2010 Service Pack 2 (3017815) **Importante** Execução de código remota **Importante**
Microsoft SharePoint Server 2010 Service Pack 2 (2956192) **Importante** Execução de código remota **Importante**
**Microsoft SharePoint Server 2013**
Microsoft SharePoint Foundation 2013 Service Pack 1 (3054792) **Importante** Execução de código remota **Importante**
 

Informações sobre a vulnerabilidade

Vulnerabilidades de conteúdo da página do Microsoft SharePoint – CVE-2015-1700

Vulnerabilidades de execução remota de código existem quando o SharePoint Server incorretamente limpa o conteúdo da página especialmente criada. Um invasor autenticado pode tentar explorar estas vulnerabilidades enviando conteúdo da página especialmente criada a um servidor SharePoint. O atacante que conseguir explorar essas vulnerabilidades pode executar código arbitrário no contexto de segurança da conta de serviço W3WP no site do SharePoint de destino. Os sistemas que executam uma versão afetada do SharePoint Server estão principalmente em risco.

Esta atualização de segurança aborda as vulnerabilidades corrigindo como o servidor do SharePoint limpa o conteúdo da página especialmente criado.

A Microsoft recebeu informações sobre as vulnerabilidades por meio da divulgação coordenada de vulnerabilidades. Quando esse boletim de segurança foi emitido, a Microsoft ainda não tinha recebido informações que indicassem que estas vulnerabilidades tinham sido usadas de forma pública para atacar clientes.

Para exibir essa vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2015-1700.

Fatores atenuantes

Os seguintes fatores atenuantes podem ser úteis no seu caso:

  • Para explorar esta vulnerabilidade, o invasor deve poder autenticar no site do SharePoint de destino. Observe que isto não é um fator atenuante caso o site do SharePoint esteja configurado para permitir que usuários anônimos acessem o site. Por padrão, o acesso anônimo não está ativado.

Soluções alternativas

A Microsoft não identificou quaisquer soluções temporárias para essas vulnerabilidades.

Perguntas frequentes

Por que um único Identificador de CVE é atribuído a diversas vulnerabilidades?
Embora as vulnerabilidades estejam em componentes diferentes do Microsoft SharePoint Server, todos eles compartilham o mesmo problema subjacente e código relacionado. As vulnerabilidades são agrupadas num único Identificador de CVE que representa o problema subjacente.

Implantação de atualização de segurança

Para obter informações sobre Implementação de atualizações de segurança, consulte o artigo da Base de Dados de Conhecimento da Microsoft mencionado aqui no Sinopse.

Agradecimentos

A Microsoft reconhece os esforços dos membros da comunidade de segurança que nos ajudam a proteger os consumidores graças à divulgação responsável de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento da Microsoft são apresentadas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comercialização e adequação a um propósito específico. Em hipótese alguma a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, danos por lucros cessantes ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido alertados da possibilidade dos referidos danos. Como alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou indiretos, a limitação acima pode não ser aplicável a você.

Revisões

  • V1.0 (12.05.15): Boletim publicado.

Página gerada em 06.05.15 11:03Z-07:00.