RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidade na decodificação TNEF

Microsoft Security Bulletin MS06-003

[CAIS, 11.01.2006-14:18, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "MS06-003 - Vulnerability in TNEF Decoding in Microsoft Outlook and Microsoft Exchange Could Allow Remote Code Execution (902412)", que trata de uma vulnerabilidade recém-descoberta na decodificação TNEF no Microsoft Outlook e no Microsoft Exchange.

No Microsoft Outlook e no Servidor Microsoft Exchange existe uma vulnerabilidade de execução remota de código devido à forma como eles decodificam anexos MIME no Formato de Encapsulamento Neutro para Transporte (Transport Neutral Encapsulation Format (TNEF) MIME attachment).

Nas versões vulneráveis do Outlook, Pacotes de Interface de Linguagem para Office, Pacotes Multilingue para Office ou Pacotes Multilingue de Interface de Usuários para Office, caso um usuário esteja registrado no sistema com privilégios de administrador, um atacante que explorasse esta vulnerabilidade com sucesso poderia obter o controle completo sobre o sistema afetado. As versões vulneráveis do Exchange poderiam ser exploradas automaticamente, sem a necessidade de interação com o usuário, possibilitando também ao atacante obter o controle total sobre o sistema afetado.

O Encapsulamento Neutro para Transporte (Transport Neutral Encapsulation (TNEF)) é um formato utilizado pelo Exchange e Outlook quando estes enviam mensagens formatadas como RTF (Rich Text Format).

Sistemas afetados:

- Pacote Microsoft Office 2000 Service Pack 3:

• Microsoft Outlook 2000
• Microsoft Office 2000 Pacotes Multilingue
• Microsoft Outlook 2000 Pacotes Multilingue Inglês

- Microsoft Office XP Service Pack 3:

• Microsoft Outlook 2002
• Microsoft Office XP Pacotes de Interface Multilingue de Usuário

Note que os Pacotes de Interface Multilingue de Usuário são para pacotes que não sejam em Inglês.

- Microsoft Office 2003 Service Pack 1 e Service Pack 2

• Microsoft Outlook 2003
• Microsoft Office 2003 Pacotes de Interface Multilingue de Usuário
• Microsoft Office 2003 Pacotes de Interface para Linguagem

Note que os Pacotes de Interface Multilingue de usuários são para pacotes que não sejam em Inglês.

- Microsoft Exchange Server

• Microsoft Exchange Server 5.0 Service Pack 2
• Microsoft Exchange Server 5.5 Service Pack 4
• Microsoft Exchange 2000 Server Pack 3 com o Exchange 2000 Post-Service Pack 3 Update Rollup de Agosto de 2004

Correções disponíveis:

Recomenda-se fazer a atualizacao para as versoes disponiveis em:

- Pacote Microsoft Office 2000 Service Pack 3:

• Microsoft Office 2000 Pacotes Multilingue
• Microsoft Outlook 2000 Pacotes Multilingue Ingles

- Microsoft Office XP Service Pack 3:

• Microsoft Outlook 2002
• Microsoft Office XP Pacotes de Interface Multilingue de Usuário

Note que os Pacotes de Interface Multilingue de Usuário sao para pacotes que nao sejam em Inglês.

- Microsoft Office 2003 Service Pack 1 e Service Pack 2

• Microsoft Outlook 2003
• Microsoft Office 2003 Pacotes de Interface Multilingue de Usuário
• Microsoft Office 2003 Pacotes de Interface para Linguagem

Note que os Pacotes de Interface Multilingue de Usuários são para pacotes que não sejam em Inglês.

- Microsoft Exchange Server

• Microsoft Exchange Server 5.0 Service Pack 2
• Microsoft Exchange Server 5.5 Service Pack 4
• Microsoft Exchange 2000 Server Pack 3 com o Exchange 2000 Post-Service Pack 3 Update Rollup de Agosto de 2004

Mais informações:

• MS06-003 - Vulnerability in TNEF Decoding in Microsoft Outlook and Microsoft Exchange Could Allow Remote Code Execution (902412)
• Microsoft Brasil Security
• Technet Brasil - Central de Segurança

Identificador CVE (http://www.cve.mitre.org): CVE-2006-0002

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais