Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Vulnerabilidade no IPv6 pode permitir negação de serviço (2904659)
Publicado em: 11 de fevereiro de 2014
Versão: 1.0
Informações Gerais
Resumo Executivo
Esta atualização de segurança elimina uma vulnerabilidade divulgada publicamente no Microsoft Windows. A vulnerabilidade pode permitir negação de serviço se um invasor enviar um grande número de pacotes IPv6 especialmente criados para um sistema afetado. Para explorar a vulnerabilidade, o sistema de um invasor deve pertencer à mesma sub-rede que o sistema de destino.
Esta atualização de segurança é classificada como Importante para todas as edições com suporte do Windows 8, Windows RT e Windows Server 2012. Para obter mais informações, consulte a subseção Software afetado e não afetado, nesta seção.
A atualização de segurança elimina a vulnerabilidade modificando a maneira como os sistemas operacionais afetados validam solicitações TCP/IP. Para obter mais informações sobre a vulnerabilidade, consulte a subseção Perguntas freqüentes para a entrada de vulnerabilidade específica na próxima seção, Informações sobre a vulnerabilidade.
Recomendação. A maioria dos clientes tem a atualização automática ativada e não terá de efetuar qualquer ação porque esta atualização de segurança será transferida e instalada automaticamente. Os clientes que não habilitaram a atualização automática precisam verificar se há atualizações e instalar essa atualização manualmente. Para obter informações sobre opções de configuração específicas na atualização automática, consulte o artigo 294871 da Base de Dados de Conhecimento Microsoft.
Para instalações de administradores e empresas ou utilizadores finais que pretendam instalar esta atualização de segurança manualmente, a Microsoft recomenda que os clientes apliquem a atualização o mais rapidamente possível utilizando software de gestão de atualizações ou verificando a existência de atualizações através do serviço Microsoft Update .
Consulte também a seção Orientação e ferramentas de deteção e implantação, mais adiante neste boletim.
Artigo da Base de Dados de Conhecimento
- Artigo da Base de Dados de Conhecimento: 2904659
- Informações de arquivo: Sim
- Hashes SHA1/SHA2: Sim
- Problemas conhecidos: Nenhum
Software afetado e não afetado
O software a seguir foi testado para determinar quais versões ou edições são afetadas. Outras versões ou edições já passaram do seu ciclo de vida de suporte ou não são afetadas. Para determinar o ciclo de vida do suporte para a versão ou edição do software, consulte Ciclo de vida do suporte da Microsoft.
Software afetado
| Sistema operativo | Impacto máximo na segurança | Classificação de gravidade agregada | Atualizações substituídas |
|---|---|---|---|
| Windows 8 | |||
| Windows 8 para sistemas de 32 bits (2904659) | Negação de Serviço | Importante | 2868623 no boletim MS13-065 |
| Windows 8 para sistemas baseados em x64 (2904659) | Negação de Serviço | Importante | 2868623 no boletim MS13-065 |
| Windows Server 2012 | |||
| Windows Server 2012 (2904659) | Negação de Serviço | Importante | 2868623 no boletim MS13-065 |
| Windows RT | |||
| Windows RT[1](2904659) | Negação de Serviço | Importante | 2868623 no boletim MS13-065 |
| Opção de instalação Server Core | |||
| Windows Server 2012 (instalação Server Core) (2904659) | Negação de Serviço | Importante | 2868623 no boletim MS13-065 |
[1]Esta atualização está disponível através do Windows Update.
Software não afetado
| Sistema operativo |
|---|
| Windows XP Service Pack 3 |
| Windows XP Professional x64 Edition Service Pack 2 |
| Windows Server 2003 Service Pack 2 |
| Windows Server 2003 x64 Edition Service Pack 2 |
| Windows Server 2003 com SP2 para sistemas baseados em Itanium |
| Windows Vista Service Pack 2 |
| Windows Vista x64 Edição Service Pack 2 |
| Windows Server 2008 para sistemas de 32 bits Service Pack 2 |
| Windows Server 2008 para sistemas baseados em x64 Service Pack 2 |
| Windows Server 2008 para sistemas baseados em Itanium Service Pack 2 |
| Windows 7 para sistemas de 32 bits Service Pack 1 |
| Windows 7 para sistemas baseados em x64 Service Pack 1 |
| Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1 |
| Windows Server 2008 R2 para sistemas baseados em Itanium Service Pack 1 |
| Windows 8.1 para sistemas de 32 bits |
| Windows 8.1 para sistemas baseados em x64 |
| Windows Server 2012 R2 |
| Windows RT 8.1 |
| Opção de instalação Server Core |
| Windows Server 2008 para sistemas de 32 bits Service Pack 2 (instalação Server Core) |
| Windows Server 2008 para sistemas baseados em x64 Service Pack 2 (instalação Server Core) |
| Windows Server 2008 R2 para sistemas baseados em x64 Service Pack 1 (instalação Server Core) |
| Windows Server 2012 R2 (instalação Server Core) |
Perguntas frequentes sobre atualizações
Estou a utilizar uma versão mais antiga do software discutido neste boletim de segurança. O que devo fazer?
O software afetado listado neste boletim foi testado para determinar quais versões são afetadas. Outras versões já passaram do seu ciclo de vida de suporte. Para obter mais informações sobre o ciclo de vida do produto, consulte o site do Ciclo de Vida do Suporte da Microsoft.
Deve ser uma prioridade para os clientes que têm versões mais antigas do software migrar para versões suportadas para evitar a exposição potencial a vulnerabilidades. Para determinar o ciclo de vida do suporte para a versão do software, consulte Selecionar um produto para obter informações sobre o ciclo de vida. Para obter mais informações sobre service packs para essas versões de software, consulte Política de suporte ao ciclo de vida do Service Pack.
Os clientes que necessitem de suporte personalizado para software mais antigo devem contactar o representante da equipa da conta Microsoft, o Gestor Técnico de Conta ou o representante de parceiro Microsoft adequado para obter opções de suporte personalizadas. Os clientes sem um contrato , Premier ou Autorizado podem entrar em contato com o escritório de vendas local da Microsoft. Para obter informações de contato, consulte o site Microsoft Worldwide Information , selecione o país na lista Informações de contato e clique em Ir para ver uma lista de números de telefone. Quando ligar, peça para falar com o gerente de vendas local do Suporte Premier. Para obter mais informações, consulte as Perguntas frequentes sobre a Política de Ciclo de Vida do Suporte da Microsoft.
Classificações de gravidade e identificadores de vulnerabilidade
As seguintes classificações de gravidade assumem o potencial impacto máximo da vulnerabilidade. Para obter informações sobre a probabilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e ao impacto na segurança, dentro de 30 dias após o lançamento deste boletim de segurança, consulte o Índice de Exploração no resumo de boletins de fevereiro. Para obter mais informações, consulte Microsoft Exploitability Index.
| Classificação de gravidade da vulnerabilidade e impacto máximo de segurança pelo software afetado | ||
|---|---|---|
| Software afetado | Vulnerabilidade de negação de serviço de TCP/IP versão 6 (IPv6) - CVE-2014-0254 | Classificação de gravidade agregada |
| Windows 8 | ||
| Windows 8 para sistemas de 32 bits | Negação de serviço importante | Importante |
| Windows 8 para sistemas baseados em x64 | Negação de serviço importante | Importante |
| Servidor Windows 2012 | ||
| Windows Server 2012 | Negação de serviço importante | Importante |
| Windows RT | ||
| Windows RT | Negação de serviço importante | Importante |
| Opção de instalação Server Core | ||
| Windows Server 2012 (instalação Server Core) | Negação de serviço importante | Importante |
Vulnerabilidade de negação de serviço de TCP/IP versão 6 (IPv6) - CVE-2014-0254
Existe uma vulnerabilidade de negação de serviço no Windows na implementação IPv6 do TCP/IP. Um intruso que explorasse esta vulnerabilidade com êxito poderia fazer com que o sistema afetado deixasse de responder.
Para exibir esta vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2014-0254.
Fatores atenuantes
A atenuação refere-se a uma definição, configuração comum ou prática recomendada geral, existente num estado predefinido, que pode reduzir a gravidade da exploração de uma vulnerabilidade. Os seguintes fatores atenuantes podem ser úteis na sua situação:
- O sistema de um atacante deve pertencer à mesma sub-rede que o sistema de destino.
- As práticas recomendadas de firewall e as configurações padrão de firewall podem ajudar a proteger as redes contra ataques que se originam fora do perímetro da empresa. As práticas recomendadas recomendam que os sistemas conectados à Internet tenham um número mínimo de portas expostas. Os sistemas afetados que permitem quaisquer ligações IP à Internet podem estar vulneráveis a este problema.
Soluções
Solução alternativa refere-se a uma definição ou alteração de configuração que não corrige a vulnerabilidade subjacente, mas que ajudaria a bloquear vetores de ataque conhecidos antes de aplicar a atualização. A Microsoft testou as seguintes soluções alternativas e estados na discussão se uma solução alternativa reduz a funcionalidade:
Desativar o protocolo de descoberta de roteador
Se o Router Discovery Protocol estiver ativado, utilize a seguinte solução alternativa para o desativar. Isso ajudará a evitar tentativas de explorar a vulnerabilidade de negação de serviço TCP/IP versão 6 (IPv6).
Execute o seguinte comando a partir de um prompt de comando elevado:
netsh interface ipv6 set interface "InterfaceName" routerdiscovery=disabledImpacto da solução alternativa. A descoberta do roteador será desativada.
Como desfazer a solução alternativa.
Execute o seguinte comando a partir de um prompt de comando elevado:
netsh interface ipv6 set interface "InterfaceName" routerdiscovery=enabledDesativar o protocolo Internet versão 6 (IPv6)
Você pode desabilitar o IPv6 no host por meio do valor do Registro DisabledComponents . O valor do Registro DisabledComponents afeta todas as interfaces de rede no host. Para obter mais informações sobre como desabilitar componentes IPv6, consulte Como desabilitar o IP versão 6 ou seus componentes específicos no Windows.
Aviso Se você usar o Editor do Registro incorretamente, poderá causar problemas sérios que podem exigir a reinstalação do sistema operacional. A Microsoft não pode garantir que você possa resolver problemas resultantes do uso incorreto do Editor do Registro. Use o Editor do Registro por sua conta e risco.
Para desativar determinados componentes IPv6, siga estas etapas:
- Clique em Iniciar, digite regedit e selecione o aplicativo regedit.
- Na caixa de diálogo Controlo de Conta de Utilizador, clique em Sim.
- No Editor do Registro, localize e clique na seguinte subchave do Registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\
- Clique duas vezes em DisabledComponents para alterar a entrada DisabledComponents.
Observação Se a entrada DisabledComponents não estiver disponível, você deverá criá-la. Para o fazer, siga estes passos:
- No menu Editar, aponte para Novo e clique em Valor DWORD (32 bits).
- Digite DisabledComponents e pressione ENTER.
- Clique duas vezes em DisabledComponents.
- Para desativar todas as interfaces IPv6, exceto a interface de loopback IPv6, digite 0x11.
Como desfazer a solução alternativa.
- Clique em Iniciar, digite regedit e selecione o aplicativo regedit.
- Na caixa de diálogo Controlo de Conta de Utilizador, clique em Sim.
- No Editor do Registro, localize e clique na seguinte subchave do Registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters\
- Clique duas vezes em DisabledComponents para alterar a entrada DisabledComponents.
- Digite 0 para habilitar todos os componentes IPv6.
Desative a regra de firewall de entrada "Core Networking - Router Advertisement (ICMPv6-In)"
Para desativar esta regra de firewall, execute o seguinte comando a partir de uma linha de comandos elevada:
netsh advfirewall firewall set rule name="Core Networking - Router Advertisement (ICMPv6-In)" dir=in new enable=NoImpacto da solução alternativa. Os anúncios do roteador ICMPv6 serão bloqueados. Isso pode afetar negativamente a funcionalidade IPv6 em cenários comuns de implantação, onde o protocolo de descoberta de roteador é usado para configuração de host.
Como desfazer a solução alternativa.
Para reativar esta regra de firewall, execute o seguinte comando a partir de uma linha de comandos elevada:
netsh advfirewall firewall set rule name="Core Networking - Router Advertisement (ICMPv6-In)" dir=in new enable=Yes
FAQ
Qual é o âmbito da vulnerabilidade?
Esta é uma vulnerabilidade de negação de serviço.
O que causa a vulnerabilidade?
Os sistemas operacionais afetados executam a validação incompleta de pacotes de rede TCP/IP. A vulnerabilidade é causada quando um invasor envia grandes quantidades de pacotes de anúncios de roteador IPv6 especialmente criados em uma sub-rede direcionada. Esse ataque pode causar negação de serviço em qualquer máquina pertencente à mesma sub-rede.
O que é IPv6?
O Protocolo Internet versão 6 (IPv6) é um conjunto de protocolos padrão para a camada de rede da Internet que substitui o IP versão 4 (IPv4). O IPv6 está integrado no Microsoft Windows XP e versões posteriores. O IPv6 foi projetado para resolver muitos dos problemas do IPv4, como esgotamento de endereços, segurança, configuração automática e extensibilidade. Para saber mais sobre IPv6, consulte IPv6 para Microsoft: perguntas frequentes.
O que é TCP/IP?
TCP/IP é um conjunto de protocolos de rede que são amplamente utilizados na Internet. O TCP/IP fornece comunicações através de redes interconectadas de computadores que possuem diversas arquiteturas de hardware e que executam vários sistemas operacionais. O TCP/IP inclui normas para a forma como os computadores comunicam e convenções para ligar redes e para encaminhar tráfego. Para obter mais informações sobre TCP/IP, consulte o artigo do TechNet, Visão geral da rede e TCP/IP.
O que são anúncios de roteadores?
Os anúncios de roteador permitem que os roteadores instruam os hosts sobre como executar a configuração automática de endereços. Por exemplo, os roteadores podem especificar se os hosts devem usar DHCPv6 e/ou configuração de endereço autônomo (sem monitoração de estado). Os roteadores anunciam sua presença juntamente com vários parâmetros de link e Internet periodicamente ou em resposta a uma mensagem de solicitação do roteador. Os anúncios do roteador contêm prefixos que são usados para determinar se outro endereço compartilha o mesmo link (determinação no link) e/ou configuração de endereço, um valor de limite de salto sugerido, etc. Para obter mais informações sobre anúncios de roteador e descoberta de vizinhos no IPv6, consulte RFC 4861.
Para que um invasor pode usar a vulnerabilidade?
Um intruso que explorasse esta vulnerabilidade poderia fazer com que os sistemas afetados deixassem de responder.
Como poderia um intruso explorar a vulnerabilidade?
Um intruso poderia explorar a vulnerabilidade criando um grande número de pacotes IPv6 especialmente concebidos para o efeito e enviando os pacotes para os sistemas afetados através de uma rede de sub-rede. Os pacotes podem então fazer com que os sistemas afetados parem de responder.
Quais são os sistemas mais suscetíveis a esta vulnerabilidade?
Todos os sistemas operativos afetados estão em risco devido a esta vulnerabilidade.
O que faz a atualização?
A atualização elimina a vulnerabilidade modificando a forma como os sistemas operativos afetados validam pedidos TCP/IP.
Quando este boletim de segurança foi emitido, esta vulnerabilidade tinha sido divulgada publicamente?
Sim. Esta vulnerabilidade foi divulgada publicamente. Ela recebeu o número CVE-2014-0254 da lista Common Vulnerability and Exposure.
Quando este boletim de segurança foi publicado, a Microsoft tinha recebido algum relatório de que esta vulnerabilidade estava a ser explorada?
N.º A Microsoft tinha visto exemplos de código de prova de conceito publicados publicamente, mas não tinha recebido qualquer informação que indicasse que esta vulnerabilidade tinha sido usada publicamente para atacar clientes que utilizam IPv6 quando este boletim de segurança foi originalmente publicado.
Orientação e ferramentas de deteção e implantação
Vários recursos estão disponíveis para ajudar os administradores a implantar atualizações de segurança.
- O Microsoft Baseline Security Analyzer (MBSA) permite que os administradores examinem sistemas locais e remotos em busca de atualizações de segurança ausentes e configurações incorretas de segurança comuns.
- O Windows Server Update Services (WSUS), o Systems Management Server (SMS) e o System Center Configuration Manager ajudam os administradores a distribuir atualizações de segurança.
- Os componentes do Update Compatibility Evaluator incluídos no Application Compatibility Toolkit ajudam a simplificar o teste e a validação de atualizações do Windows em relação aos aplicativos instalados.
Para obter informações sobre essas e outras ferramentas disponíveis, consulte Ferramentas de segurança para profissionais de TI.
Implementação da Atualização de Segurança
Software afetado
Para obter informações sobre a atualização de segurança específica para o software afetado, clique no link apropriado:
Windows 8 (todas as edições)
Tabela de Referência
A tabela seguinte contém as informações de atualização de segurança para este software.
| Nome do ficheiro de atualização de segurança | Para todas as edições de 32 bits suportadas do Windows 8:\ Windows8-RT-KB2904659-x86.msu |
|---|---|
| \ | Para todas as edições baseadas em x64 suportadas do Windows 8:\ Windows8-RT-KB2904659-x64.msu |
| Comutadores de instalação | Consulte o artigo 934307 da Base de Dados de Conhecimento Microsoft |
| Requisito de reinicialização | Sim, tem de reiniciar o sistema depois de aplicar esta atualização de segurança. |
| Informações sobre remoção | Para desinstalar uma atualização instalada pelo WUSA, utilize o parâmetro de configuração /Uninstall ou clique em Painel de Controlo, clique em Sistema e Segurança, clique em Windows Update e, em seguida, em Consulte também, clique em Atualizações instaladas e selecione a partir da lista de atualizações. |
| Informações de arquivo | Consulte o artigo 2904659 da Base de Dados de Conhecimento Microsoft |
| Verificação da chave de registo | Nota Não existe uma chave de registo para validar a presença desta atualização. |
Windows Server 2012 (todas as edições)
Tabela de Referência
A tabela seguinte contém as informações de atualização de segurança para este software.
| Nome do ficheiro de atualização de segurança | Para todas as edições suportadas do Windows Server 2012:\ Windows8-RT-KB2904659-x64.msu |
|---|---|
| Comutadores de instalação | Consulte o artigo 934307 da Base de Dados de Conhecimento Microsoft |
| Requisito de reinicialização | Sim, tem de reiniciar o sistema depois de aplicar esta atualização de segurança. |
| Informações sobre remoção | Para desinstalar uma atualização instalada pelo WUSA, utilize o parâmetro de configuração /Uninstall ou clique em Painel de Controlo, clique em Sistema e Segurança, clique em Windows Update e, em seguida, em Consulte também, clique em Atualizações instaladas e selecione a partir da lista de atualizações. |
| Informações de arquivo | Consulte o artigo 2904659 da Base de Dados de Conhecimento Microsoft |
| Verificação da chave de registo | Nota Não existe uma chave de registo para validar a presença desta atualização. |
Windows RT (todas as edições)
Tabela de Referência
A tabela seguinte contém as informações de atualização de segurança para este software.
| Implementação | Estas atualizações estão disponíveis apenas através do Windows Update . |
|---|---|
| Requisito de reinicialização | Sim, tem de reiniciar o sistema depois de aplicar esta atualização de segurança. |
| Informações sobre remoção | Clique em Painel de Controlo, clique em Sistema e Segurança, clique em Windows Update e, em seguida, em Consulte também, clique em Atualizações instaladas e selecione a partir da lista de atualizações. |
| Informações de arquivo | Consulte o artigo 2904659 da Base de Dados de Conhecimento Microsoft |
Outras informações
Programa Microsoft Ative Protections (MAPP)
Para melhorar as proteções de segurança para os clientes, a Microsoft fornece informações sobre vulnerabilidades aos principais fornecedores de software de segurança antes de cada lançamento mensal de atualização de segurança. Os fornecedores de software de segurança podem então utilizar estas informações de vulnerabilidade para fornecer proteções atualizadas aos clientes através do seu software ou dispositivos de segurança, tais como antivírus, sistemas de deteção de intrusões baseados na rede ou sistemas de prevenção de intrusões baseados em anfitrião. Para determinar se as proteções ativas estão disponíveis em provedores de software de segurança, acesse os sites de proteções ativas fornecidos por parceiros de programa, listados em Parceiros do Microsoft Ative Protections Program (MAPP).
Suporte
Ajuda na instalação de atualizações: Suporte para o Microsoft Update
Soluções de segurança para profissionais de TI: Solução de problemas e suporte de segurança do TechNet
Ajude a proteger o computador com o Windows contra vírus e malware: Central de Segurança e Solução de Vírus
Suporte local de acordo com o seu país: Suporte Internacional
Exclusão de Responsabilidade
As informações fornecidas na Base de Dados de Conhecimento Microsoft são fornecidas "no estado em que se encontram", sem garantia de qualquer tipo. A Microsoft se isenta de todas as garantias, expressas ou implícitas, incluindo as garantias de comercialização e adequação a uma finalidade específica. Em nenhuma circunstância a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, incluindo danos diretos, indiretos, incidentais, consequenciais, perda de lucros comerciais ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido avisados da possibilidade de tais danos. Alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou incidentais, portanto, a limitação acima pode não se aplicar.
Revisões
- V1.0 (11 de fevereiro de 2014): Boletim publicado.
Página gerada em 2014-06-25 13:31Z-07:00.