NÚMERO DO AVISO MS-ISAC:
2025-048
DATA(S) DE EMISSÃO:
05/14/2025
VISÃO GERAL:
Várias vulnerabilidades foram descobertas em produtos da Microsoft, a mais grave das quais pode permitir a execução remota de código no contexto do usuário conectado. Dependendo dos privilégios associados ao usuário, um invasor pode instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema podem ser menos afetados do que aqueles que operam com direitos de usuário administrativos.
INTELIGÊNCIA DE AMEAÇAS:
Atualmente, não há relatos dessas vulnerabilidades sendo exploradas na natureza.
SISTEMAS AFETADOS:
- Código do Visual Studio
- Windows Kernel
- .NET, Visual Studio e ferramentas de build para Visual Studio
- Serviço de Gateway de Área de Trabalho Remota
- Microsoft Defender para Ponto de Extremidade
- Microsoft Defender para Identidade
- Modo Kernel Seguro do Windows
- Kit de laboratório de hardware do Windows
- Azure DevOps
- Microsoft Edge (baseado em Chromium)
- Microsoft Dataverse
- Automação do Azure
- Driver de interface de tempo de execução confiável do Windows
- RRAS (Serviço de Roteamento e Acesso Remoto) do Windows
- Barramento de Máquina Virtual do Windows
- Instalador do Windows
- Windows Drivers
- Servidor de arquivos do Windows
- Mídia do Windows
- Serviço de gerenciamento de impressão universal
- UrlMon
- Windows LDAP – Lightweight Directory Access Protocol
- Função: Windows Hyper-V
- Windows SMB
- Serviços de implantação do Windows
- Área de Trabalho Remota do Windows
- Serviços de Certificados do Active Directory (AD CS)
- Conceitos básicos do Windows
- Sistema de arquivos de intermediação da Microsoft
- Defesa contra ameaças da Web (WTD.sys)
- Provedor de Recursos de Armazenamento do Azure
- Sincronização de Arquivos do Azure
- Gerenciador de PC da Microsoft
- Microsoft Office SharePoint
- Microsoft Office Excel
- Microsoft Office PowerPoint
- Escritório da Microsoft
- Driver do sistema de arquivos de log comum do Windows
- Azul
- Windows Win32K – GRFX
- Mecanismo de script da Microsoft
- Windows DWM
- Visual Studio
- Microsoft Office Outlook
- Windows NTFS
- Driver de função auxiliar do Windows para WinSock
- Aplicativos do Microsoft Power
RISCO:
Governo:
Grandes e médias entidades governamentaisALTO
Governo pequenoMÉDIA
Empresas:
Entidades de grandes e médias empresasALTO
Entidades de pequenas empresasMÉDIA
RESUMO TÉCNICO:
Várias vulnerabilidades foram descobertas em produtos da Microsoft, a mais grave das quais pode permitir a execução remota de código.
Uma lista completa de todas as vulnerabilidades pode ser encontrada no link da Microsoft na seção Referências.
A exploração bem-sucedida da mais grave dessas vulnerabilidades pode resultar em um invasor obtendo os mesmos privilégios que o usuário conectado. Dependendo dos privilégios associados ao usuário, um invasor pode instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema podem ser menos afetados do que aqueles que operam com direitos de usuário administrativos.
RECOMENDAÇÕES:
Recomendamos que as seguintes ações sejam tomadas:
- Aplique patches apropriados ou mitigações apropriadas fornecidas pela Microsoft a sistemas vulneráveis imediatamente após o teste apropriado. (M1051: Atualizar software)
- Salvaguarda 7.1: Estabelecer e manter um processo de gerenciamento de vulnerabilidades: Estabelecer e manter um processo documentado de gerenciamento de vulnerabilidades para ativos corporativos. Revise e atualize a documentação anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Salvaguarda.
- Safeguard 7.4: Execute o gerenciamento automatizado de patches de aplicativos:Execute atualizações de aplicativos em ativos corporativos por meio do gerenciamento automatizado de patches mensalmente ou com mais frequência.
- Aplique o Princípio do Privilégio Mínimo a todos os sistemas e serviços e execute todos os softwares como um usuário sem privilégios (sem direitos administrativos) para diminuir os efeitos de um ataque bem-sucedido. (M1026: Gerenciamento de contas privilegiadas)
- Safeguard 4.7: Gerenciar contas padrão em ativos e software corporativos:Gerencie contas padrão em ativos e software corporativos, como raiz, administrador e outras contas de fornecedores pré-configuradas. Exemplos de implementações podem incluir: desabilitar contas padrão ou torná-las inutilizáveis.
- Salvaguarda 5.4: Restringir privilégios de administrador a contas de administrador dedicadas:Restrinja os privilégios de administrador a contas de administrador dedicadas em ativos corporativos. Realize atividades gerais de computação, como navegação na Internet, e-mail e uso do pacote de produtividade, a partir da conta principal e sem privilégios do usuário.
- Lembre a todos os usuários de não visitar sites não confiáveis ou seguir links/arquivos abertos fornecidos por fontes desconhecidas ou não confiáveis. (M1017: Treinamento de usuários)
- Salvaguarda 14.1: Estabelecer e manter um programa de conscientização de segurança:Estabeleça e mantenha um programa de conscientização de segurança. O objetivo de um programa de conscientização de segurança é educar a força de trabalho da empresa sobre como interagir com ativos e dados corporativos de maneira segura. Realize treinamento na contratação e, no mínimo, anualmente. Revise e atualize o conteúdo anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Proteção.
- Salvaguarda 14.2: Treinar membros da força de trabalho para reconhecer ataques de engenharia social: Treine os membros da força de trabalho para reconhecer ataques de engenharia social, como phishing, pré-mensagens de texto e utilização não autorizada.
- Use recursos para evitar que padrões de comportamento suspeitos ocorram em sistemas de endpoint. Isso pode incluir comportamento suspeito de processo, arquivo, chamada de API etc. (M1040: Prevenção de comportamento no endpoint)
- Salvaguarda 13.2 : Implantar uma solução de detecção de intrusão baseada em host: Implante uma solução de detecção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte.
- Salvaguarda 13.7: Implantar uma solução de prevenção de intrusão baseada em host:Implante uma solução de prevenção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte. Exemplos de implementações incluem o uso de um cliente EDR (Detecção e Resposta de Ponto de Extremidade) ou agente IPS baseado em host.