RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidade na validacao de enderecos do ASP.NET

Microsoft Security Bulletin MS05-004

[CAIS, 11.02.2005-14:38, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "MS05-004 - ASP.NET Path Validation Vulnerability (887219)", que trata de uma vulnerabilidade presente em uma rotina de uniformização utilizada pelo ASP.NET no mapeamento de um pedido web.

Se explorada, a vulnerabilidade pode permitir que um atacante burle a segurança de um website ASP.NET, obtendo assim acesso não autorizado. Caso um atacante consiga explorar esta vulnerabilidade, ele poderá vir a executar uma serie de ações, dependendo do conteúdo do website. A vulnerabilidade é considerada importante pela Microsoft.

Sistemas afetados:

Sistemas que possuem o Microsoft .NET Framework 1.0 ou Microsoft .NET Framework 1.1 instalado em:

• Windows 2000 Service Pack 3
• Windows 2000 Service Pack 4
• Windows XP Service Pack 1
• Windows XP Service Pack 2
• Windows Server 2003
• Windows XP Tablet PC Edition
• Windows XP Media Center Edition

Correções disponíveis:

Recomenda-se fazer a atualização para as versões disponíveis em:

Sistemas que possuem Microsoft .NET Framework 1.0

Atualização para .NET Framework 1.0 Service Pack 3 para os sistemas

• Windows 2000 Service Pack 3
• Windows 2000 Service Pack 4
• Windows XP Service Pack 1
• Windows XP Service Pack 2
• Windows Server 2003

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=4E6D56E5-3D8D-423B-99A1-41EDF23D65BC

Atualização para .NET Framework 1.0 Service Pack 3 para os sistemas

• Windows XP Tablet PC Edition
• Windows XP Media Center Edition

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=EE611D27-52CF-43DB-BB97-21318C7FAA70

Atualização para .NET Framework 1.0 Service Pack 2 para os sistemas

• Windows 2000 Service Pack 3
• Windows 2000 Service Pack 4
• Windows XP Service Pack 1
• Windows XP Service Pack 2
• Windows Server 2003

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=3271ACD5-EE3C-4BDF-AE28-56D2DF77151E

Atualização para .NET Framework 1.0 Service Pack 2 para os sistemas

• Windows XP Tablet PC Edition
• Windows XP Media Center Edition

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=33D4D33E-473F-4842-A3A8-C8266AEE8FAB

Sistemas que possuem Microsoft .NET Framework 1.1

Atualização para .NET Framework 1.1 Service Pack 1 para os sistemas

• Windows 2000 Service Pack 3
• Windows 2000 Service Pack 4
• Windows XP Service Pack 1
• Windows XP Service Pack 2
• Windows XP Tablet PC Edition
• Windows XP Media Center Edition

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=8EC6FB8A-29EB-49CF-9DBC-1A0DC2273FF9

Atualização para .NET Framework 1.1 Service Pack 1 para os sistemas

• Windows Server 2003

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=9BBD5617-49AE-40BF-B0FA-F9049349C6F5

Atualização para .NET Framework 1.1 para os sistemas

• Windows 2000 Service Pack 3
• Windows 2000 Service Pack 4
• Windows XP Service Pack 1
• Windows XP Service Pack 2
• Windows XP Tablet PC Edition
• Windows XP Media Center Edition

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=C5E19719-000F-456A-BEAB-5BD7949F8AA2

Atualização para .NET Framework 1.1 para os sistemas

• Windows Server 2003

Download da atualização:
http://www.microsoft.com/downloads/details.aspx? FamilyId=E54BE8BE-22AF-4390-86E1-25D76794D5C7

Mais informações:

• MS05-004 - ASP.NET Path Validation Vulnerability (887219)
• Vulnerability Note VU#283646 - Microsoft ASP.NET fails to perform proper canonicalization
• Microsoft Brasil Security
• Technet Brasil - Central de Segurança

Identificador CVE (http://cve.mitre.org): CAN-2004-0847

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

Os Alertas do CAIS também são oferecidos no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais