Atualização de Segurança para ActiveX

Microsoft Security Bulletin MS08-032

[CAIS, 11.06.2008-11:48, revisão 01]

O CAIS está repassando o alerta da Microsoft, intitulado "MS08-032 - Cumulative Security Update of ActiveX Kill Bits (950760)", que trata de uma atualização de segurança para um controle ActiveX e aplicação de "kill-bit" para um controle ActiveX de terceiros.

Existe uma vulnerabilidade remota no componente de voz "sapi.dll", que se explorada, pode permitir ao atacante executar código malicioso no sistema vulnerável. Para ser explorada a vulnerabilidade é necessário que o sistema de voz esteja habilitado.

Se explorada, a vulnerabilidade permite ao atacante obter as mesmas permissões de acesso do usuário conectado. Se este usuário tiver permissões de administrador, o atacante poderá obter o controle total sobre o sistema.

A atualização desabilita, através da ativação de um "kill-bit" (modificação no registro), o funcionamento do controle ActiveX "BackWeb LiteInstactivator" no Internet Explorer. Este controle contém uma vulnerabilidade reportada pelo fabricante.

Sistemas afetados

Microsoft Windows 2000 Service Pack 4
Windows XP Service Pack 2
Windows XP Service Pack 3
Windows XP Professional x64 Edition
Windows XP Professional x64 Edition Service Pack 2
Windows Server 2003 Service Pack 1
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 com SP1 para sistemas baseados em Itanium
Windows Server 2003 com SP2 para sistemas baseados em Itanium
Windows Vista
Windows Vista Service Pack 1
Windows Vista x64 Edition
Windows Vista x64 Edition Service Pack 1
Windows Server 2008 para sistemas 32-bit
Windows Server 2008 para sistemas x64
Windows Server 2008 para sistemas baseados em Itanium

Correções disponíveis

Recomenda-se fazer a atualização para as versões disponíveis em:

Mais informações

Identificador CVE (http://cve.mitre.org): CVE-2007-0675

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

Listas de alertas publicados:
2012 | 2011 | 2010 | 2009 | 2008 | 2007 | 2006 | 2005 | 2004 | 2003 | 2002 | 2001 | 2000 | 1999 | 1998

Assinatura dos Alertas do CAIS

Assine a lista de alertas do CAIS e receba antecipadamente, por correio eletrônico, as mais recentes notificações sobre segurança em redes e sistemas.

Formulário de assinatura dos Alertas do CAIS

Formulário de assinatura

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais