Boletim de Segurança da Microsoft MS15-105 - Importante

Vulnerabilidade no Windows Hyper-V pode permitir o desvio do recurso de segurança (3091287)

Publicado em: 08.09.15

Versão: 1.0

Sinopse

Esta atualização de segurança resolve uma vulnerabilidade no Microsoft Windows. A vulnerabilidade pode permitir que os recursos de segurança sejam ignorados se um atacante executar um aplicativo especialmente criado que pode fazer com que o Windows Hyper-V aplique incorretamente configurações de ACL (lista de controle de acesso). Os clientes que não habilitaram a função do Hyper-V não serão afetados.

Esta atualização de segurança é classificada como Importante para todas as edições de 8.1 for x64-based Systems, Windows Server 2012 R2, and Windows 10 para sistemas de 64 bits. Para obter mais informações, consulte a seção Software Afetado.

A atualização de segurança aborda a vulnerabilidade corrigindo como o Hyper-V aplica a ACL (Lista de Controle de Acesso) nas definições de configuração. Para obter mais informações sobre a vulnerabilidade, consulte a seção Informações sobre a vulnerabilidade.

Para obter mais informações sobre essa atualização, consulte o artigo 3091287 da Base de Dados de Conhecimento da Microsoft.

Software Afetado

As seguinte versões ou edições de software foram afetadas. As versões ou edições que não estão listadas já passaram de seu ciclo de vida do suporte ou não foram afetadas. Para determinar o ciclo de vida do suporte para sua versão ou edição de software, visite o site Ciclo de vida do suporte da Microsoft.

Sistema operacional

Impacto máximo à segurança

Avaliação de gravidade agregada

Atualizações substituídas

Windows 8.1

Windows 8.1 para sistemas baseados em x64
(3087088)

Desvio de recurso de segurança

Importante

Nenhuma

Windows Server 2012 R2

Windows Server 2012 R2
(3087088)

Desvio de recurso de segurança

Importante

Nenhuma

Windows 10

Windows 10 para sistemas baseados em x64[1] (3081455)

Desvio de recurso de segurança

Importante

3081444

Opção de instalação Server Core

Windows Server 2012 R2 (instalação Server Core)
(3087088)

Desvio de recurso de segurança

Importante

Nenhuma

[1]A atualização do Windows 10 é cumulativa. Além de conter atualizações não relacionadas à segurança, ela também contém todas as correções de segurança para todas as vulnerabilidades afetadas do Windows 10 enviadas com o lançamento de segurança deste mês. Consulte artigo 3081444 da Base de Dados de Conhecimento da Microsoft: para obter mais informações e links para download.

Observação O Windows Technical Preview 2 e o Windows Server Technical Preview 3 são afetados. Recomenda-se que os clientes que estiverem executando esse sistema operacional apliquem a atualização, que está disponível no Windows Update.

Perguntas frequentes de atualização

Não tenho o Hyper-V habilitado. Por que não estão me oferecendo a atualização?
Há o código vulnerável no software afetado que está listado na tabela. Como medida de defesa profunda e para garantir que os sistemas sejam protegidos se o Hyper-V estiver ativado, a atualização é considerada aplicável a todos os produtos e versões com suporte que contêm o código vulnerável.

Classificação de gravidade e Identificadores de vulnerabilidade

As classificações de gravidade a seguir pressupõem o impacto máximo possível da vulnerabilidade. Para obter informações referentes à probabilidade de exploração da vulnerabilidade em relação à sua classificação de gravidade e ao impacto à segurança, em até 30 dias a partir do lançamento deste boletim de segurança, consulte o Índice de exploração no resumo de boletins de setembro.

Classificação de gravidade de vulnerabilidade e Impacto máximo de segurança por software afetado

Software Afetado

Vulnerabilidade de desvio de segurança do Windows Kernel - CVE-2015-2534

Avaliação de gravidade agregada

Windows 8.1

Windows 8.1 para sistemas baseados em x64
(3087088)

Importante
Desvio de recurso de segurança

Importante

Windows Server 2012 R2

Windows Server 2012 R2
(3087088)

Importante
Desvio de recurso de segurança

Importante

Windows 10

Windows 10 para sistemas baseados em x64
(3081455)

Importante
Desvio de recurso de segurança

Importante

Opção de instalação Server Core

Windows Server 2012 R2 (instalação Server Core)
(3087088)

Importante
Desvio de recurso de segurança

Importante

Informações sobre a vulnerabilidade

Vulnerabilidade de desvio de segurança do Windows Kernel - CVE-2015-2534

Há uma vulnerabilidade de desvio de recurso de segurança no Windows Hyper-V quando as configurações de ACL (lista de controle de acesso) não são aplicadas corretamente. Para explorar as vulnerabilidades, se um atacante executar um aplicativo especialmente criado que pode fazer com que o Windows Hyper-V permita o tráfico de rede não intencional. Os clientes que não habilitaram a função do Hyper-V não serão afetados. A atualização de segurança aborda a vulnerabilidade corrigindo como o Hyper-V aplica a ACL (Lista de Controle de Acesso) nas definições de configuração.

A Microsoft recebeu informações sobre esta vulnerabilidade por meio da divulgação coordenada de vulnerabilidades. Quando esse boletim de segurança foi originalmente emitido, a Microsoft ainda não tinha recebido informações que indicassem que a vulnerabilidade tinha sido usada de forma pública para atacar clientes.

Fatores atenuantes

Os seguintes fatores atenuantes podem ser úteis em seu caso:

  • Os clientes que não habilitaram a função do Hyper-V não serão afetados.

Soluções alternativas

A Microsoft não identificou nenhuma solução alternativa para esta vulnerabilidade.

Implantação de atualização de segurança

Para obter informações sobre Implementação de atualizações de segurança, consulte o artigo da Base de Dados de Conhecimento da Microsoft mencionado aqui na Sinopse.

Agradecimentos

A Microsoft reconhece os esforços dos membros da comunidade de segurança que nos ajudam a proteger os consumidores graças à divulgação responsável de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento da Microsoft são apresentadas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comercialização e adequação a um propósito específico. Em hipótese alguma a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, danos por lucros cessantes ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido alertados da possibilidade dos referidos danos. Como alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou indiretos, a limitação acima pode não ser aplicável a você.

Revisões

  • V1.0 (08.09.15): Boletim publicado.

Página gerada em 02.09.15 12:26Z-07:00.