[SECURITY-L] Microsoft divulga nova coletanea de vulnerabilidades

[Daniela Regina Barbetti Silva]

----- Forwarded message from Caio Souza Mendes <caio_sm em yahoo.com.br> -----

From: Caio Souza Mendes <caio_sm em yahoo.com.br>
Subject: Microsoft divulga nova coletXnea de vulnerabilidades
To: daniela em ccuec.unicamp.br
Date: Thu, 31 Oct 2002 12:21:19 -0300 (ART)


Microsoft divulga nova coletânea de vulnerabilidades

A Microsoft divulgou ontem três novos boletins relatando a descoberta de novas 
vulnerabilidades que afetam o Internet Information Services (IIS), Windows 2000,
NT e XP sendo que a mais séria permite um atacante elevar seus privilégios no 
sistema vulnerável.

As vulnerabilidades que afetam o IIS são ao todo quatro, estando vulneráveis as 
versões 4.0, 5.0 e 5.1. A primeira e mais séria vulnerabilidade pode permitir um 
atacante elevar seus privilégios no sistema e afeta todas as versões do IIS. A 
segunda permite um atacante executar ataques de Denial-of-Service e afeta as 
versões 5.0 e 5.1. A terceira vulnerabilidade é uma falha de permissão nos 
scripts e afeta somente o IIS 5.0 e a última é uma vulnerabilidade de 
Cross-Site-Scripting na página administrativa e afeta todas as versões do IIS.
A Microsoft já publicou um patch cumulativo que corrige todas estas vulnerabilidades.

A vulnerabilidade encontrada no Windows 2000 é um erro na permissão do diretório 
raiz, normalmente o C:, no qual possui por padrão acesso a todos os grupos com 
total controle. Através de algumas condições poderá permitir um atacante executar 
um Trojan Horse, programa que é utilizado para manipulação remota do sistema. A 
Microsoft não disponibilizou um patch que corrige este problema sendo necessário a 
mudança das permissões no diretório raiz. 

A outra vulnerabilidade que afeta o Windows 2000 e também o XP, é um Denial-of-Service
no Point-to-Point Tunneling Protocol (PPTP) que pode causar uma paralisação do 
sistema afetado. A Microsoft já disponibilizou um patch que corrige este problema.

[Microsoft Security Bulletin MS02-062]
http://www.microsoft.com/technet/security/bulletin/ms02-062.asp

[Microsoft Security Bulletin MS02-063]
http://www.microsoft.com/technet/security/bulletin/ms02-063.asp

[Microsoft Security Bulletin MS02-064]
http://www.microsoft.com/technet/security/bulletin/ms02-064.asp 


----- End forwarded message -----