Source: https://technet.microsoft.com/pt-pt/library/security/ms09-060.aspx
Timestamp: 2017-08-18 20:46:07+00:00

Document:
Microsoft Security Bulletin MS09-060 - Crítica
2009 MS09-060
Vulnerabilidades nos Controlos ActiveX do Microsoft Active Template Library (ATL) poderiam permitir Execução Remota de Código (973965)
Data de publicação: 13 de outubro de 2009 | Updated: 17 de fevereiro de 2010
Esta actualização de segurança resolve várias vulnerabilidades nos Controlos ActiveX do Microsoft Office que foram compilados com uma versão vulnerável do Microsoft Active Template Library (ATL). As vulnerabilidades poderiam permitir a execução remota de código se um utilizador carregasse um componente ou controlo especialmente concebido para o efeito. Os utilizadores cujas contas estão configuradas com menos direitos de utilização no sistema podem correr menos riscos do que os utilizadores que trabalham com direitos de utilização de administrador.
Esta actualização de segurança está classificada como Crítica para todas as edições suportadas do Microsoft Outlook 2002, Microsoft Office Outlook 2003, Microsoft Office Outlook 2007, Microsoft Visio 2002 Viewer, Microsoft Office Visio 2003 Viewer e Microsoft Office Visio Viewer 2007. Para obter mais informações sobre o software afectado por esta actualização, consulte a subsecção Software Afectado e Software Não Afectado, nesta secção.
A actualização resolve as vulnerabilidades corrigindo a forma como o ATL processa a instanciação de objectos de fluxos de dados, fornecendo versões actualizadas dos componentes e controlos afectados concebidos utilizando cabeçalhos ATL corrigidos. Para mais informações sobre a vulnerabilidade, consulte a subsecção de Perguntas Mais Frequentes (FAQ) quanto à vulnerabilidade específica na secção seguinte, Informações sobre as vulnerabilidades.
Questões conhecidas. O Artigo 973965 da Base de Dados de Conhecimento da Microsoft documenta as questões actualmente conhecidas que os clientes podem verificar quando instalam esta actualização de segurança. O artigo também documenta soluções recomendadas para estas questões. Quando as questões actualmente conhecidas e soluções recomendadas software dizem respeito apenas às edições específicas deste software, este artigo não fornece ligações a outros artigos.
(KB973702) Execução Remota de Código Crítica MS08-015
(KB973705) Execução Remota de Código Crítica MS08-015
Microsoft Office System 2007 Service Pack 1 e Microsoft Office System 2007 Service Pack 2 Microsoft Office Outlook 2007 Service Pack 1 e Microsoft Office Outlook 2007 Service Pack 2
(KB972363) Execução Remota de Código Crítica Nenhum
Microsoft Visio 2002 Viewer* Não aplicável Execução Remota de Código Crítica Nenhum
Microsoft Office Visio 2003 Viewer* Não aplicável Execução Remota de Código Crítica Nenhum
Microsoft Office Visio Viewer 2007 Service Pack 1 e Microsoft Office Visio Viewer 2007 Service Pack 2
(KB973709) Não aplicável Execução Remota de Código Crítica Nenhum
*A Microsoft recomenda que os utilizadores do Microsoft Visio Viewer 2002 e Microsoft Visio Viewer 2003 façam a actualização para o Microsoft Office Visio Viewer 2007 Service Pack 2.
Por que razão foi revisto este boletim a 9 de Fevereiro de 2010?
A Microsoft reviu este boletim para anunciar uma alteração de lógica de detecção no sentido de corrigir a questão em que a actualização de 8 de Julho de 2008 para o Outlook 2003 (KB953432) foi incorrectamente oferecida para além do pacote de actualização para o Microsoft Office Outlook 2003 Service Pack 3 (KB973705). Trata-se apenas de uma alteração na implementação, que não afecta os ficheiros contidos na actualização inicial. Os clientes que actualizaram os seus sistemas com sucesso não necessitam de reinstalar esta actualização.
Por que razão foi revisto este boletim a 12 de Janeiro de 2010?
A Microsoft reviu este boletim para anunciar uma alteração de lógica de detecção no sentido de corrigir a questão em que a actualização de 9 de Junho de 2009 para o Outlook 2007 (KB969907) foi incorrectamente oferecida para além do pacote de actualização do Microsoft Office Outlook 2007 Service Pack 1 e Microsoft Office Outlook 2007 Service Pack 2 (KB972363). A actualização KB972363 substitui a actualização KB969907. Trata-se apenas de uma alteração na implementação, que não afecta os ficheiros contidos na actualização inicial. Os clientes que actualizaram os seus sistemas com sucesso não necessitam de reinstalar esta actualização.
Sim, o pacote de actualização para o Microsoft Office Outlook 2007 Service Pack 1 e Microsoft Office Outlook 2007 Service Pack 2 (KB972363) inclui as alterações ao Outlook 2007 descritas no Artigo 969907 da Base de Dados de Conhecimento da Microsoft.
Por que razão os artigos KB974554, KB974556 e KB974234 não estão listados neste boletim de segurança?
A actualização associada aos artigos 974554, 974556 e 974234 da Base de Dados de Conhecimento da Microsoft não são uma actualização de segurança e não corrigem questões relacionadas com segurança. No entanto, a actualização resolve um problema que pode fazer com que programas que utilizam o Controlo de vistas do Outlook com o Forms 2.0, tais como o Microsoft Office Outlook com o Business Contact Manager, deixem de funcionar como esperado depois da aplicação da actualização de segurança MS09-060. A Microsoft aconselha os clientes que usam o Controlo de vistas do Outlook com o Forms 2.0 a aplicar a actualização disponível em KB974554, KB974556 ou KB974234, dependendo da sua versão do Microsoft Office, depois de instalar a actualização de segurança MS09-060. Os clientes que não utilizam o Controlo de vistas do Outlook com o Forms 2.0 não necessitam da actualização KB974554, KB974556 ou KB974234.
Por que razão estão os artigos KB974554, KB974556 e KB974234 identificados como Actualizações de Segurança se não contêm correcções relacionadas com segurança?
As actualizações KB974554, KB974556 e KB974234 resolvem uma questão conhecida com a actualização de segurança do Outlook para o MS09-060. Embora as actualizações KB974554, KB974556 e KB974234 não corrijam questões relacionadas com segurança, as actualizações KB974554, KB974556 e KB974234 estão listadas como Actualizações de Segurança no Microsoft Update, Windows Update, Microsoft Windows Server Update Services (WSUS) e no Microsoft Baseline Security Analyzer (MBSA), devido a requisitos de correcção em determinadas plataformas para actualizações que resolvem questões de pós-instalação com actualizações de segurança do Outlook que são necessárias para garantir que as actualizações de segurança do Outlook funcionam correctamente. Não tem que instalar a actualização para a questão conhecida se não tiver instalado a actualização de segurança para o Outlook. No entanto, recomendamos que os clientes instalem a actualização de segurança MS09-060 se planeiam implementar o Outlook no futuro.
Não tenho o Microsoft Outlook instalado. Por que razão me está a ser oferecida a actualização para a questão conhecida no KB974554, KB974556 ou KB974234?
A actualização para a questão conhecida para o KB974554, KB974556 e KB974234 está a ser oferecida à maioria dos utilizadores do Microsoft Office, incluindo utilizadores que não têm o Outlook instalado, porque a actualização de segurança MS09-060 afecta um componente que é utilizado pela maior parte dos produtos Microsoft Office. Não é tecnicamente possível detectar de forma fiável quais destes utilizadores estão a utilizar o Controlo de vistas do Outlook, pelo que a actualização para a questão conhecida para o Controlo de vistas do Outlook é oferecida a todos os utilizadores do Microsoft Office. Cada utilizador deve determinar se a actualização é relevante para o seu ambiente com base na sua utilização do Controlo de vistas do Outlook e Forms 2.0.
Onde posso obter a actualização KB974554, KB974556 ou KB974234 para a questão conhecida do Controlo de Vistas do Outlook com Forms 2.0?
A actualização para a questão de instalação do Controlo de vistas do Outlook com o Forms 2.0 está disponível nas localizações que seguem:
Actualização para o Microsoft Office 2003 (KB974554)
Actualização para o Microsoft Office XP (KB974556)
Actualização para o Microsoft Office System 2007 (KB974234)
O Artigo 973965 da Base de Dados de Conhecimento da Microsoft também contém ligações a estes artigos de Base de Dados de Conhecimento da Microsoft.
Sim. Esta actualização dos boletins de segurança resolve vulnerabilidades em componentes do Office. Ao instalar esta actualização, os utilizadores garantem que todas as questões conhecidas provocadas por cabeçalhos e bibliotecas ATL vulneráveis são corrigidas em componentes centrais do Office.
Onde estão as actualizações para o Visio Viewer 2002 e Visio Viewer 2003?
A Microsoft recomenda que todos os utilizadores do Microsoft Visio Viewer 2002 e Microsoft Visio Viewer 2003 actualizem os seus sistemas com a versão mais recente do Microsoft Visio Viewer 2007 para resolver esta vulnerabilidade. Os utilizadores que não podem actualizar devem aplicar a actualização do MS09-034. A actualização MS09-034 para o Internet Explorer atenua o vector de ataque para plataformas afectadas do Visio Viewer. Será incluído um kill bit para estes controlos numa futura actualização de segurança cumulativa para Kill Bits do ActiveX.
Sim, tem de instalar controlos actualizados de outras empresas quando estes forem lançados. A atenuação descrita no boletim MS09-034 para o Internet Explorer não resolve as vulnerabilidades subjacentes em determinados componentes e controlos desenvolvidos com o Active Template Library.
Microsoft Office Outlook 2003 Service Pack 3 Crítica
Microsoft Office Word 2007 Service Pack 1 e Microsoft Office Word 2007 Service Pack 2	 Crítica
Microsoft Visio 2002 Viewer Crítica
Microsoft Office Visio 2003 Viewer Crítica
Microsoft Office Visio Viewer 2007 Service Pack 1 e Microsoft Office Visio Viewer 2007 Service Pack 2 Crítica
A vulnerabilidade deve-se a uma questão nos cabeçalhos ATL que poderiam permitir que um intruso chamasse a VariantClear() numa variante que não fosse inicializada correctamente. Para os programadores que tenham criado um componente ou controlo utilizando o ATL desta forma, o componente ou controlo resultante poderia permitir execução remota de código no contexto do utilizador com sessão iniciada.
A vulnerabilidade deve-se a questões nos cabeçalhos ATL que processam a instanciação de um objecto a partir de fluxos de dados. Para componentes e controlos concebidos utilizando o ATL, a utilização de OleLoadFromStream sem segurança poderia permitir a instanciação de objectos arbitrários que poderiam contornar determinadas políticas de segurança relacionadas.
Se um utilizador tiver um controlo vulnerável no seu sistema e um intruso contornar as atenuações descritas no Aviso de Segurança da Microsoft (973882), o intruso poderia ler informações na memória do sistema afectado.
Microsoft Outlook 2002 Service Pack 3 Sim
Microsoft Office Outlook 2003 Service Pack 3 Sim
Microsoft Office Word 2007 Service Pack 1 e Microsoft Office Word 2007 Service Pack 2	 Sim
Microsoft Visio 2002 Viewer Não
Microsoft Office Visio 2003 Viewer Não
Microsoft Office Visio Viewer 2007 Service Pack 1 e Microsoft Office Visio Viewer 2007 Service Pack 2 Sim
Microsoft Outlook 2002 Service Pack 3 Não Não Sim Sim
Microsoft Office Outlook 2003 Service Pack 3 Não Não Sim Sim
Microsoft Office Word 2007 Service Pack 1 e Microsoft Office Word 2007 Service Pack 2	 Não Não Sim Sim
Microsoft Visio 2002 Viewer Não Não Não Não
Microsoft Office Visio 2003 Viewer Não Não Não Não
Microsoft Office Visio Viewer 2007 Service Pack 1 e Microsoft Office Visio Viewer 2007 Service Pack 2 Não Não Sim Sim
Instalação sem intervenção do utilizador officeXP-kb973702-fullfile-enu /q:a
Instalação sem reiniciar officeXP-kb973702-fullfile-enu /r:n
Informações de Ficheiros Consulte o Artigo 973702 da Base de Dados de Conhecimento da Microsoft
Instalação sem intervenção do utilizador office2003-kb973705-fullfile-enu /q:a
Instalação sem reiniciar office2003-kb973705-fullfile-enu /r:n
Informações de Ficheiros Consulte o Artigo 973705 da Base de Dados de Conhecimento da Microsoft
Outlook 2007 e Visio Viewer 2007 (todas as edições)
Instalação sem intervenção do utilizador Para todas as edições suportadas do Outlook 2007:
Para todas as edições suportadas do Visio Viewer 2007:
Instalação sem reiniciar Para todas as edições suportadas do Outlook 2007:
Informações de Ficheiros Para todas as edições suportadas do Outlook 2007:
Consulte o Artigo 972363 da Base de Dados de Conhecimento da Microsoft
Consulte o Artigo 973709 da Base de Dados de Conhecimento da Microsoft
V1.1 (21 de Outubro de 2009): Adicionadas entradas à secção Perguntas Mais Frequentes relativas a esta Actualização de Segurança, para descrever a actualização para uma questão conhecida disponível em KB974554, KB974556 ou KB974234.
V1.2 (4 de Novembro de 2009): Remoção de referências erradas à versão de lançamento original do Microsoft Office Visio Viewer 2007 como software afectado.
V1.3 (12 de Janeiro de 2010): Revisão deste boletim para anunciar uma alteração de lógica de detecção no sentido de corrigir a questão em que a actualização de 9 de Junho de 2009 para o Outlook 2007 (KB969907) foi incorrectamente oferecida para além do pacote de actualização do Microsoft Office Outlook 2007 (KB972363). Trata-se apenas de uma alteração na implementação, que não afecta os ficheiros contidos na actualização inicial. Os clientes que actualizaram os seus sistemas com sucesso não necessitam de reinstalar esta actualização.
V1.4 (9 de Fevereiro de 2010): Revisão deste boletim para anunciar uma alteração de lógica de detecção no sentido de corrigir a questão em que a actualização de 8 de Julho de 2008 para o Outlook 2003 (KB953432) foi incorrectamente oferecida para além do pacote de actualização para o Microsoft Office Outlook 2003 (KB973705). Trata-se apenas de uma alteração na implementação, que não afecta os ficheiros contidos na actualização inicial. Os clientes que actualizaram os seus sistemas com sucesso não necessitam de reinstalar esta actualização.
V1.5 (17 de Fevereiro de 2010): Corrigidas as entradas de detecção do MBSA para o Microsoft Office Outlook 2007 e Microsoft Office Visio Viewer 2007. Trata-se apenas de uma alteração de informações. Não foram efectuadas alterações aos ficheiros da actualização de segurança ou à lógica de detecção.

References: Artigo 973965
 Artigo 969907
 Artigo 973965
 Artigo 973702
 Artigo 973705
 Artigo 972363
 Artigo 973709