Vulnerabilidade no pacote do Visual C++ afeta o Exchange Server

A Microsoft relatou nessa terça-feira, dia 09/10/2018 a adição de um produto em uma antiga vulnerabilidade já relatada a anos, no qual permite a execução de códigos remotos no Microsoft Foundation Class (MFC) Library. O produto recém adicionado é o Exchange Server, e a vulnerabilidade se aplica a todas as versões com suporte ainda ativo (2010SP3, 2013 e 2016).

A vulnerabilidade trata-se da MS11-025, que foi relatada pela primeira vez em meados de 2011. A pergunta que muitos estão fazendo é; como uma vulnerabilidade descoberta em 2011 vem a tona em 2018, e ainda colocando em pauta o Exchange Server? A resposta é a que foi dada na publicação desse artigo pelo time de produto. Em poucas palavras, apesar da vulnerabilidade ter sido descoberta e corrigida através de um patch de Visual Studio C++, ocorre que por alguma razão, os binários do patch que foram adicionados as verões do Exchange Server até então – versões novas e também os Cumulative Updates – não são os corretos que possuem a “vacina” que corrige a vulnerabilidade.

O que fazer então?

O patch de correção é o KB2565063, no qual se aplica para todos os sistemas operacionais x64 do Windows Server 2008R2 até o Windows Server 2016. Apesar de relatados por varias pessoas que no momento de instalação do patch, o Windows diz que o mesmo já existe, a Microsoft afirma que deve-se sim reinstalar –seja fazendo repair ou uninstall/install—para que os binários corretos possam ser instalados. A instalação não requer reinicialização do Windows, a menos que já existia alguma reinicialização pendente por algum outro motivo.

O time de produto também garantiu que os próximos Cumulative Updates que deverão sair agora em outubro, já iram possuir os binários corretos no qual corrige a vulnerabilidade. Portanto os clientes devem atualizar esse patch agora, mas para os próximos Cumulative updates não haverá mais necessidades, pois os mesmos serão lançados com o patch correto já integrado no pacote de instalação.