CVE-2020-0605 — Guia de Atualizações de Segurança — Microsoft - Vulnerabilidade de execução remota de código no .NET Framework

Resumo Executivo

Existe uma vulnerabilidade de execução remota de código no software .NET quando ele falha ao verificar a marcação de origem de um arquivo. Um invasor que conseguir explorar a vulnerabilidade poderá executar código arbitrário no contexto do usuário atual. Se o usuário atual estiver conectado com direitos de usuário administrativo, um invasor poderá assumir o controle do sistema afetado. O invasor poderá instalar programas; exibir, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas com poucos direitos de usuário no sistema correm menos riscos do que aqueles com direitos administrativos.

A exploração dessa vulnerabilidade requer que um usuário abra um arquivo especialmente criado com uma versão afetada do .NET. Em um cenário de ataque por email, um invasor pode explorar a vulnerabilidade enviando ao usuário um arquivo especialmente criado e convencendo-o a abrir esse arquivo.

A atualização de segurança resolve a vulnerabilidade, corrigindo como o .NET verifica a marcação de origem de um arquivo.

Exploração

A tabela a seguir fornece uma avaliação de exploração dessa vulnerabilidade no momento da publicação original.

Publicly disclosed: Não
Exploited: Não
Exploitability assessment: Probabilidade menor de exploração

Agradecimentos

Soroush Dalili (@irsdl)

A Microsoft reconhece os esforços dos membros da comunidade de segurança que nos ajudam a proteger os consumidores graças à divulgação coordenada de vulnerabilidades. Consulte Agradecimentos para obter mais informações.

Atualizações de segurança

Para determinar o ciclo de vida de suporte de seu software, consulte o Ciclo de vida de suporte da Microsoft.

Data de lançamento Descending

Data de lançamento

Produto

Plataforma

Impacto

Gravidade máxima

Artigo

Download

Build Number

14 de jan de 2020

Microsoft .NET Framework 4.5.2

Windows Server 2012 (Server Core installation)

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5.1

Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5.1

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.5.2

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.5.2

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.5.2

Windows 7 for 32-bit Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5.1

Windows 7 for x64-based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5

Windows 8.1 for 32-bit systems

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5

Windows Server 2012

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.5.2

Windows 7 for x64-based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server 2016

Remote Code Execution

Critical

4552926

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 8.1 for 32-bit systems

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.8

Windows Server, version 1903 (Server Core installation)

Remote Code Execution

Critical

4552931

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.7.2

Windows Server 2019 (Server Core installation)

Remote Code Execution

Critical

4556441

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.8

Windows Server 2019 (Server Core installation)

Remote Code Execution

Critical

4556441

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 10 Version 1607 for 32-bit Systems

Remote Code Execution

Critical

4552926

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.7.2

Windows Server 2019

Remote Code Execution

Critical

4556441

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 7 for x64-based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.8

Windows 10 Version 1809 for 32-bit Systems

Remote Code Execution

Critical

4556441

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.6

Windows Server 2008 for 32-bit Systems Service Pack 2

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.8

Windows Server 2019

Remote Code Execution

Critical

4556441

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server 2012 R2

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 10 Version 1607 for x64-based Systems

Remote Code Execution

Critical

4552926

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server 2012

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server 2016 (Server Core installation)

Remote Code Execution

Critical

4552926

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server 2012 R2 (Server Core installation)

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 10 Version 1709 for x64-based Systems

Remote Code Execution

Critical

4552928

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 10 Version 1803 for x64-based Systems

Remote Code Execution

Critical

4552929

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7/4.7.1/4.7.2

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7/4.7.1/4.7.2

Windows Server 2012 R2 (Server Core installation)

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 10 Version 1709 for 32-bit Systems

Remote Code Execution

Critical

4552928

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7/4.7.1/4.7.2

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows 10 Version 1803 for 32-bit Systems

Remote Code Execution

Critical

4552929

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.8

Windows Server, version 1803 (Server Core Installation)

Remote Code Execution

Critical

4552929

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7/4.7.1/4.7.2

Windows Server 2012

Remote Code Execution

Critical

-
-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.7.2

Windows Server, version 1803 (Server Core Installation)

Remote Code Execution

Critical

4556807

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.8

Windows 10 Version 1909 for x64-based Systems

Remote Code Execution

Critical

4552931

Security Update

-

14 de jan de 2020

Microsoft .NET Framework 3.5 AND 4.8

Windows Server, version 1909 (Server Core installation)

Remote Code Execution

Critical

4552931

Security Update

-

All results loaded

Todas as 88 linhas foram carregadas

Aviso de isenção de responsabilidade

As informações fornecidas na Base de Dados de Conhecimento da Microsoft são apresentadas "no estado em que se encontram", sem qualquer tipo de garantia. A Microsoft se isenta de todas as garantias, expressas ou implícitas, inclusive as garantias de comercialização e adequação a um propósito específico. Em hipótese alguma a Microsoft Corporation ou seus fornecedores serão responsáveis por quaisquer danos, inclusive danos diretos, indiretos, incidentais, consequenciais, danos por lucros cessantes ou danos especiais, mesmo que a Microsoft Corporation ou seus fornecedores tenham sido alertados da possibilidade dos referidos danos. Como alguns estados não permitem a exclusão ou limitação de responsabilidade por danos consequenciais ou indiretos, a limitação acima pode não ser aplicável a você.

Revisões

version

revisionDate

description

3.2

25 de jun de 2020

Correção de links de download e artigo corrigidos na tabela Atualizações de Segurança. Esta é apenas uma alteração informativa.

3.0

12 de mai de 2020

Para abordar de maneira abrangente a CVE-2020-0605, a Microsoft lançou as atualizações de segurança de maio de 2020 para todas as versões do Microsoft .NET, com exceção de: Microsoft .NET Framework 3.0 Service Pack 2, Microsoft .NET Framework 3.5 e Microsoft .NET Framework 3.5.1. A Microsoft recomenda que os clientes que executam outras versões do Microsoft .NET Framework instalem as atualizações de segurança de maio de 2020 para ficarem protegidos contra essa vulnerabilidade.

3.1

12 de mai de 2020

Na tabela Atualizações de Segurança, foram corrigidas as versões do Microsoft .NET instaladas no Windows 10 para sistemas de 32 bits e no Windows 10 para sistemas baseados em x64. Esta é apenas uma alteração informativa.

2.0

10 de mar de 2020

A tabela Atualizações de Segurança foi revisada para incluir o PowerShell 7.0, pois ele resolve essa vulnerabilidade nas versões de versão prévia do PowerShell 7. Consulte https://github.com/PowerShell/Announcements-Internal/issues/19 para obter mais informações.

1.0

14 de jan de 2020

Informações publicadas.