[SECURITY-L] CAIS-Alerta: Vulnerabilidade no Componente de Edicao DHTML (MS05-013)

[CSIRT - UNICAMP]

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
Subject:  CAIS-Alerta: Vulnerabilidade no Componente de Edicao DHTML (MS05-013)
To: rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
Date: Fri, 11 Feb 2005 15:00:50 -0200 (BRDT)

-----BEGIN PGP SIGNED MESSAGE-----


Prezados,

O CAIS esta' repassando o alerta da Microsoft, intitulado "MS05-013 - 
Vulnerability in the DHTML Editing Component ActiveX Control Could Allow 
Remote Code Execution (891781)", que trata de uma recem-descoberta 
vulnerabilidade presente no Componente de Edicao DHTML do Controle 
ActiveX.

A vulnerabilidade existente no Componente de Edicao de DHTML Dinamico do 
Controle ActiveX da Microsoft pode permitir a divulgacao de informacoes ou 
a execucao remota de codigo no sistema afetado.

Um atacante poderia explorar esta vulnerabilidade construindo uma pagina 
web maliciosa capaz de executar remotamente um codigo malicioso no sistema 
afetado, no momento em que um usuario acessasse a pagina em questao. O 
atacante poderia obter assim o controle completo sobre o sistema 
vulneravel.


Sistemas afetados:

. Microsoft Windows 2000 Service Pack 3
. Microsoft Windows 2000 Service Pack 4
. Microsoft Windows XP Service Pack 1
. Microsoft Windows XP Service Pack 2 
. Microsoft Windows XP 64-Bit Edition Service Pack 1 (Itanium)
. Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium)
. Microsoft Windows Server 2003
. Microsoft Windows Server 2003 for Itanium-based Systems
. Microsoft Windows 98
. Microsoft Windows 98 Second Edition (SE)
. Microsoft Windows Millennium Edition (ME)


Correcoes disponiveis:

Recomenda-se fazer a atualizacao para as versoes disponiveis em:

. Microsoft Windows 2000 Service Pack 3
  http://www.microsoft.com/downloads/details.aspx?FamilyId=AEA07CBA-0E2B-4A22-91ED-1D23BB012C04

. Microsoft Windows 2000 Service Pack 4
  http://www.microsoft.com/downloads/details.aspx?FamilyId=AEA07CBA-0E2B-4A22-91ED-1D23BB012C04

. Microsoft Windows XP Service Pack 1
  http://www.microsoft.com/downloads/details.aspx?FamilyId=9490E7D2-03C2-463A-B3D0-B949F5295208

. Microsoft Windows XP Service Pack 2
  http://www.microsoft.com/downloads/details.aspx?FamilyId=9490E7D2-03C2-463A-B3D0-B949F5295208

. Microsoft Windows XP 64-Bit Edition Service Pack 1 (Itanium)
  http://www.microsoft.com/downloads/details.aspx?FamilyId=9E0247B8-240E-416C-9586-ACD5EF8578DE

. Microsoft Windows XP 64-Bit Edition Version 2003 (Itanium)
  http://www.microsoft.com/downloads/details.aspx?FamilyId=2CE98263-2AB4-4FE3-8B0B-5B3155119730

. Microsoft Windows Server 2003
  http://www.microsoft.com/downloads/details.aspx?FamilyId=E99F5BDD-8EA8-4837-960E-0D20DEA9AC4D

. Microsoft Windows Server 2003 for Itanium-based Systems
  http://www.microsoft.com/downloads/details.aspx?FamilyId=2CE98263-2AB4-4FE3-8B0B-5B3155119730

. Microsoft Windows 98
  Veja a sessao FAQ do boletim original, encontrado na sessao "Mais Informacoes", para detalhes sobre este sistema operacional.

. Microsoft Windows 98 Second Edition (SE)
  Veja a sessao FAQ do boletim original, encontrado na sessao "Mais Informacoes", para detalhes sobre este sistema operacional.

. Microsoft Windows Millennium Edition (ME)
  Veja a sessao FAQ do boletim original, encontrado na sessao "Mais Informacoes", para detalhes sobre este sistema operacional.


Mais informacoes:

. MS05-013 - Vulnerability in the DHTML Editing Component ActiveX Control Could Allow Remote Code Execution (891781)
  http://www.microsoft.com/technet/security/bulletin/ms05-013.mspx

. Vulnerability Note VU#356600 - Microsoft Internet Explorer DHTML Editing ActiveX control contains a cross-domain vulnerability
  http://www.kb.cert.org/vuls/id/356600

. Microsoft Brasil Security
  http://www.microsoft.com/brasil/security

. Technet Brasil - Central de Seguranca
  http://www.technetbrasil.com.br/seguranca


Identificador CVE (http://cve.mitre.org): CAN-2004-1319


O CAIS recomenda que os administradores mantenham seus sistemas e
aplicativos sempre atualizados, de acordo com as ultimas versoes e
correcoes oferecidas pelos fabricantes.


Os Alertas do CAIS tambem sao oferecidos no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml


Atenciosamente,

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################

-----BEGIN PGP SIGNATURE-----
Version: PGP 6.5.8

iQCVAwUBQgzkx+kli63F4U8VAQFm4QP+P160qpGT42KGdwZ1N6xyAz8WcLz0zu4Q
of0/2WrWKXUYsKiCKkV0Mf82O/3cWIUfFAfDeOWt0W+7BH2ByqUN/UI11WdPvdga
QGeiDNbTGkgmGpleAcRvHonNMkPkFGI9WLL2kp2Wu26Eto9KkQM8uxRDXzA1BRqK
xZ7My0XidKE=
=rksK
-----END PGP SIGNATURE-----


----- End forwarded message -----