NÚMERO DO AVISO MS-ISAC:
2025-062
DATA(S) DE EMISSÃO:
07/08/2025
VISÃO GERAL:
Várias vulnerabilidades foram descobertas em produtos da Microsoft, a mais grave das quais pode permitir a execução remota de código no contexto do usuário conectado. Dependendo dos privilégios associados ao usuário, um invasor pode instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema podem ser menos afetados do que aqueles que operam com direitos de usuário administrativos.
INTELIGÊNCIA DE AMEAÇAS:
Atualmente, não há relatos dessas vulnerabilidades sendo exploradas na natureza.
SISTEMAS AFETADOS:
- Windows Kernel
- Cliente de Área de Trabalho Remota
- Scripts do Windows Visual Basic
- Microsoft Intune
- Disco rígido virtual (VHDX)
- Editor de Método de Entrada da Microsoft (IME)
- Serviço SSDP do Windows
- Windows Kerberos
- Componente de imagem do Windows
- Negociação estendida do Windows SPNEGO
- Driver VSP de armazenamento do Windows
- Windows GDI
- Rastreamento de eventos do Windows
- Serviço de gerenciamento de impressão universal
- Protocolo SSProvider de crédito do Windows
- Agente do Azure Monitor
- Gerenciador de PC da Microsoft
- Escritório da Microsoft
- Driver de transporte MBT do Windows
- RRAS (Serviço de Roteamento e Acesso Remoto) do Windows
- Função: Windows Hyper-V
- Serviço de Plataforma de Dispositivos Conectados do Windows
- Windows BitLocker
- Serviço de atualização do Windows
- Windows SMB
- Enclave de segurança baseada em virtualização (VBS) do Windows
- Extensão de vídeo Microsoft MPEG-2
- Modo Kernel Seguro do Windows
- Microsoft Office Excel
- Serviço de Licenciamento de Área de Trabalho Remota do Windows
- Motorista da classe HID
- Host de dispositivo UPnP (Plug and Play) universal do Windows
- Serviço de Implantação do Windows AppX
- Serviços Criptográficos do Windows
- Windows TDX.sys
- Driver de função auxiliar do Windows para WinSock
- Host da estrutura do driver do modo de usuário do Windows
- Agente do espaço de trabalho
- Windows Win32K – ICOMP
- Driver de serviço WOW Thunk de streaming de kernel
- Sistema de arquivos de intermediação da Microsoft
- Windows NTFS
- Windows Shell
- Gravador de desempenho do Windows
- Mídia do Windows
- Driver de porta de armazenamento
- Componente de pesquisa do Microsoft Windows
- Windows TCP/IP
- Serviço de Gerenciamento de Acesso por Funcionalidade (camsvc)
- Microsoft Office Word
- Microsoft Office SharePoint
- Microsoft Office PowerPoint
- Microsoft Edge (baseado em Chromium)
- Visual Studio Code – extensão Python
- Windows Netlogon
- Servidor SQL
- Driver FAT rápido do Windows
- Componentes do spooler de impressão do Windows
- Windows StateRepository API
- Notificação do Windows
- Windows Win32K – GRFX
- Agendador de QoS do Microsoft Windows
- Equipes da Microsoft
- Componente do Microsoft Graphics
- Serviço de Proxy KDC do Windows (KPSSVC)
- Visual Studio
- Tela Inteligente do Windows
- Plataforma de Desenvolvedor do Office
- Armazenamento do Windows
RISCO:
Governo:
Grandes e médias entidades governamentaisALTO
Governo pequenoMÉDIA
Empresas:
Entidades de grandes e médias empresasALTO
Entidades de pequenas empresasMÉDIA
RESUMO TÉCNICO:
Várias vulnerabilidades foram descobertas em produtos da Microsoft, a mais grave das quais pode permitir a execução remota de código.
Uma lista completa de todas as vulnerabilidades pode ser encontrada no link da Microsoft na seção Referências.
A exploração bem-sucedida da mais grave dessas vulnerabilidades pode resultar em um invasor obtendo os mesmos privilégios que o usuário conectado. Dependendo dos privilégios associados ao usuário, um invasor pode instalar programas; visualizar, alterar ou excluir dados; ou criar novas contas com direitos totais de usuário. Os usuários cujas contas estão configuradas para ter menos direitos de usuário no sistema podem ser menos afetados do que aqueles que operam com direitos de usuário administrativos.
RECOMENDAÇÕES:
Recomendamos que as seguintes ações sejam tomadas:
- Aplicar patches apropriados ou mitigações apropriadas fornecidas pela Microsoft a sistemas vulneráveis imediatamente após apprteste opriate. (M1051: Atualizar software)
- Salvaguarda 7.1: Estabelecer e manter um processo de gerenciamento de vulnerabilidades: Estabelecer e manter um processo documentado de gerenciamento de vulnerabilidades para ativos corporativos. Revise e atualize a documentação anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Salvaguarda.
- Safeguard 7.4: Execute o gerenciamento automatizado de patches de aplicativos:Execute atualizações de aplicativos em ativos corporativos por meio do gerenciamento automatizado de patches mensalmente ou com mais frequência.
- Aplique o Princípio do Privilégio Mínimo a todos os sistemas e serviços e execute todos os softwares como um usuário sem privilégios (sem direitos administrativos) para diminuir os efeitos de um ataque bem-sucedido. (M1026: Gerenciamento de contas privilegiadas)
- Salvaguarda 4.7: Gerenciar contas padrão em ativos e software corporativos:Gerencie contas padrão em ativos e software corporativos, como raiz, administrador e outras contas de fornecedores pré-configuradas. Exemplos de implementações podem incluir: desabilitar contas padrão ou torná-las inutilizáveis.
- Salvaguarda 5.4: Restringir privilégios de administrador a contas de administrador dedicadas:Restrinja os privilégios de administrador a contas de administrador dedicadas em ativos corporativos. Realize atividades gerais de computação, como navegação na Internet, e-mail e uso do pacote de produtividade, a partir da conta principal e sem privilégios do usuário.
- Lembre a todos os usuários de não visitar sites não confiáveis ou seguir links/arquivos abertos fornecidos por fontes desconhecidas ou não confiáveis. (M1017: Treinamento de usuários)
- Salvaguarda 14.1: Estabelecer e manter um programa de conscientização de segurança:Estabeleça e mantenha um programa de conscientização de segurança. O objetivo de um programa de conscientização de segurança é educar a força de trabalho da empresa sobre como interagir com ativos e dados corporativos de maneira segura. Realize treinamento na contratação e, no mínimo, anualmente. Revise e atualize o conteúdo anualmente ou quando ocorrerem mudanças significativas na empresa que possam afetar esta Proteção.
- Salvaguarda 14.2: Treinar membros da força de trabalho para reconhecer ataques de engenharia social: Treine os membros da força de trabalho para reconhecer ataques de engenharia social, como phishing, pré-mensagens de texto e utilização não autorizada.
- Use recursos para evitar que padrões de comportamento suspeitos ocorram em sistemas de endpoint. Isso pode incluir comportamento suspeito de processo, arquivo, chamada de API etc. (M1040: Prevenção de comportamento no endpoint)
- Salvaguarda 13.2 : Implantar uma solução de detecção de intrusão baseada em host: Implante uma solução de detecção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte.
- Salvaguarda 13.7: Implantar uma solução de prevenção de intrusão baseada em host:Implante uma solução de prevenção de intrusão baseada em host em ativos corporativos, quando apropriado e/ou com suporte. Exemplos de implementações incluem o uso de um cliente EDR (Detecção e Resposta de Ponto de Extremidade) ou agente IPS baseado em host.