[SECURITY-L] CAIS-Alerta: Vulnerabilidade no Windows SharePoint Services e SharePoint Team Services (MS05-006)

[CSIRT - UNICAMP]

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
Subject:  CAIS-Alerta: Vulnerabilidade no Windows SharePoint Services e
 SharePoint Team Services (MS05-006)
To: rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
Date: Fri, 11 Feb 2005 14:45:46 -0200 (BRDT)

-----BEGIN PGP SIGNED MESSAGE-----


Prezados,

O CAIS esta' repassando o alerta da Microsoft, intitulado "MS05-006 - 
Vulnerability in Windows SharePoint Services and SharePoint Team Services 
Could Allow Cross-Site Scripting and Spoofing Attacks (887981)", que trata 
de vulnerabilidades de cross-site scripting e de spoofing presentes nos 
servicos Windows SharePoint e Windows SharePoint Teams, utilizados para 
criacao de web sites colaborativos.

A vulnerabilidade de cross-site scripting pode permitir que um atacante 
convenca um usuario a executar um arquivo contendo codigo malicioso. Caso 
isso ocorra, o programa malicioso sera' executado no contexto de seguranca 
do usuario, podendo permitir o acesso do atacante a qualquer arquivo do 
sistema cujas permissoes de seguranca sejam as mesmas do usuario que 
executou o programa malicioso.

E' possivel tambem ao atacante explorar esta vulnerabilidade para 
modificar o cache de navegadores web e de proxies intermediarios de web, 
colocando falsos conteudos nestes caches. A vulnerabilidade e' 
classificada como moderada pela Microsoft.


Sistemas afetados:

. Windows SharePoint Services para Windows Server 2003 
. SharePoint Team Services da Microsoft

Usuarios do SharePoint Team Services: O Office XP Service Pack 2 para 
Office XP Web Component e o Office XP Service Pack 3 para SharePoint Team 
Services tambem estao vulneraveis a este problema. Entretanto, as 
atualizacoes de seguranca do Office XP Service Pack 2 para Office XP Web 
Components sao fornecidas somente como parte do arquivo completo de 
atualizacao de seguranca do Office XP. Para mais informacoes, veja o 
alerta original na secao "Mais informacoes".


Correcoes disponiveis:

Recomenda-se fazer a atualizacao para as versoes disponiveis em:

. Windows SharePoint Services para Windows Server 2003
  http://www.microsoft.com/downloads/details.aspx?FamilyId=6BB93661-0CE7-46CF-B8BB-55546B58A2F2

. SharePoint Team Services da Microsoft    
  http://www.microsoft.com/downloads/details.aspx?FamilyId=6BE3F8AD-768E-4BCB-8EB3-AD74B576038C


Mais informacoes:

. MS05-006 - Vulnerability in Windows SharePoint Services and SharePoint Team Services Could 
  Allow Cross-Site Scripting and Spoofing Attacks (887981) 
  http://www.microsoft.com/technet/security/bulletin/ms05-006.mspx

. Vulnerability Note VU#340409 - Microsoft Windows SharePoint Services and SharePoint Team Services 
  cross-site scripting vulnerabilities
  http://www.kb.cert.org/vuls/id/340409

. Microsoft Brasil Security
  http://www.microsoft.com/brasil/security

. Technet Brasil - Central de Seguranca
  http://www.technetbrasil.com.br/seguranca


Identificador CVE (http://cve.mitre.org): CAN-2005-0049 


O CAIS recomenda que os administradores mantenham seus sistemas e
aplicativos sempre atualizados, de acordo com as ultimas versoes e
correcoes oferecidas pelos fabricantes.
                                                                                                                                                               
Os Alertas do CAIS tambem sao oferecidos no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml


Atenciosamente,

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################

-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8

iQCVAwUBQgzhV+kli63F4U8VAQHOoAP/QyT5w2YJLI95VQ0O7VzOnL3MwUlwN8jM
Rncl3ui+sOFBBm2x0/YiIKz1MOof8h8AiKAlcEEvH0dmUdWF2UEqaQUnkM5kWbyv
B/vE4tj96JWHJyVKJzs3DZj3Q91PDhhIcAxn/vgMdGL+Pyi+SRwSuRR4AjplS/yU
Hk62O2yVPOo=
=X/xd
-----END PGP SIGNATURE-----


----- End forwarded message -----