RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidade em fontes Web

Microsoft Security Bulletin MS06-002

[CAIS, 11.01.2006-14:10, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "MS06-002 - "Vulnerability in Embedded Web Fonts Could Allow Remote Code Execution (908519)", que trata de uma vulnerabilidade na descompressao de fontes incorporadas a páginas Web (Embedded Web Fonts).

A vulnerabilidade permite que se elabore uma página Web maliciosa com o objetivo de executar código arbitrário no sistema de um usuário que visita o site, com o nível de privilégios deste usuário. Embora a extensão típica deste tipo de fonte seja .eot, qualquer extensão pode ser usada para explorar esta vulnerabilidade.

Esta vulnerabilidade pode ser disparada pela simples visita a uma página web, o que confere a ela o mesmo grau de severidade da vulnerabilidade WMF (MS06-001).

Sistemas afetados:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 with SP1 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 x64 Edition
• Microsoft Windows 98
• Microsoft Windows 98 Second Edition (SE)
• Microsoft Windows Millennium Edition (ME)

Correções disponíveis:

Recomenda-se fazer a atualização para as versões disponíveis em:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 com SP1 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 x64 Edition
• Microsoft Windows 98, Microsoft Windows 98 Second Edition (SE) e Microsoft Windows Millennium Edition (ME) - consulte a secao FAQ do boletim de segurança original

• MS06-002 - Vulnerability in Embedded Web Fonts Could Allow Remote Code Execution (908519)
• Windows Embedded Open Type (EOT) Font Heap Overflow Vulnerability
• Atualização para a Vulnerabilidade no WMF (MS06-001)
• Microsoft Brasil Security
• Technet Brasil - Central de Segurança

Identificador CVE (http://www.cve.mitre.org): CVE-2006-0010

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais