RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidade no ASP.NET

Microsoft Security Bulletin MS06-033

[CAIS, 12.07.2006-10:58, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "MS06-033 - Vulnerability in ASP.NET Could Allow Information Disclosure (917283)", que trata de uma vulnerabilidade no ASP.NET.

ASP.NET é um conjunto de tecnologias do Framework .NET voltado para a construção de aplicações Web e Web Services XML que opera sobre IIS 5.0 (Windows 2000), IIS 5.1 (Windows XP) e IIS 6.0 (Windows Server 2003).

A vulnerabilidade de divulgação de informações consiste na falha do ASP .NET 2.0 em validar adequadamente um URL recebido pelo servidor Web. Um atacante que explore esta vulnerabilidade com sucesso poderia contornar a segurança do ASP.Net e ter acesso não autorizado a objetos disponíveis no diretório "Application" diretamente pelo nome. As ações do atacante, entretanto, dependerão do conteúdo a que ele teve acesso.

Sistemas afetados:

• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 1
• Microsoft Windows XP Service Pack 2
• Microsoft Windows XP Professional x64 Edition
• Microsoft Windows XP Tablet PC Edition
• Microsoft Windows XP Media Center Edition
• Microsoft Windows Server 2003
• Microsoft Windows Server 2003 Service Pack 1
• Microsoft Windows Server 2003 para sistemas baseados em Itanium
• Microsoft Windows Server com SP1 para sistemas baseados em Itanium
• Microsoft Windows Server 2003 x64 Edition

Correções disponíveis:

Recomenda-se fazer a atualização para as versões disponíveis em:

A atualização consiste em instalar a ultima versão de NDP 2.0 ASP.Net, disponível nas versões X86 (Windows 32 bits), X64 (Windows 64 bits em processador AMD64 ou Intel EM64T por exemplo) e IA64 (Windows 64 bits em sistema Itanium). Os binários de instalação estão disponíveis em:

• .Net Development Platform 2.0 ASP.Net Security Update

Mais informações:

• MS06-033 - Vulnerability in ASP.NET Could Allow Information Disclosure (917283)
• Microsoft Brasil Security
• Technet Brasil - Central de Seguranca

Identificador CVE (http://cve.mitre.org): CVE-2006-1300

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais