Source: https://technet.microsoft.com/pt-pt/library/security/ms07-014.aspx
Timestamp: 2017-08-17 17:49:28+00:00
Document Index: 138303795

Matched Legal Cases: ['artigo 895660', 'Artigo 932889', 'Artigo 922665', 'Artigo 902349', 'artigo 832671', 'Artigo 832332']

Microsoft Security Bulletin MS07-014 - Crítica
2007 MS07-014
Vulnerabilidades no Microsoft Word poderiam permitir Execução Remota de Código (929434)
Data de publicação: 13 de fevereiro de 2007
Quem deve ler este documento: Clientes que utilizam o Microsoft Office ou o Microsoft Works
Microsoft Word 2000 - Transferir a actualização (KB929139)
Microsoft Word 2002 - Transferir a actualização (KB929061)
Microsoft Word 2003 - Transferir a actualização (KB929057)
Microsoft Word Viewer 2003 - Transferir a actualização (KB924883)
Microsoft Works Suite 2004 - Transferir a actualização (KB929061) (igualmente para actualização do Microsoft Word 2002)
Microsoft Works Suite 2005 - Transferir a actualização (KB929061) (igualmente para actualização do Microsoft Word 2002)
Microsoft Works Suite 2006 - Transferir a actualização (KB929061) (igualmente para actualização do Microsoft Word 2002)
Microsoft Office 2004 para Mac - Transferir a actualização (KB932185)
Esta actualização resolve várias vulnerabilidades recentemente descobertas e comunicadas de forma pública e privada. Cada vulnerabilidade está documentada neste boletim na respectiva subsecção, em "Detalhes sobre a Vulnerabilidade".
Vulnerabilidade de Cadeia Mal Formada no Word - CVE-2006-5994 Execução Remota de Código
Crítica Importante Importante Importante Nenhum
Vulnerabilidade de Estruturas de Dados Mal Formadas no Word - CVE-2006-6456 Execução Remota de Código
Vulnerabilidade nas Contagens do Word – CVE-2006-6561 Execução Remota de Código
Crítica Importante Importante Importante Importante
Vulnerabilidade nas Macros do Word – CVE-2007-0208 Execução Remota de Código Nenhum Importante Importante Importante Nenhum
Vulnerabilidade de Objecto de Desenho Mal Formado no Word - CVE-2007-0209 Execução Remota de Código Crítica Importante Nenhum Importante Nenhum
Vulnerabilidade de Função Mal Formada no Word - CVE-CVE-2007-0515 Execução Remota de Código Crítica Nenhum Nenhum Importante Nenhum
Gravidade Agregada de Todas as Vulnerabilidades Crítica Importante Importante Importante Importante
Nota As classificações de gravidade para o Microsoft Works Suite estão associadas às versões para o Microsoft Word da seguinte forma:
A classificação de gravidade para o Microsoft Works Suite 2004, 2005 e 2006 é a mesma do Microsoft Word 2002.
MS06-060 Substituído Substituído Substituído Substituído Substituído
Nota A substituição do Microsoft Word 2002 também substitui o Microsoft Works Suite 2004, 2005 e 2006.
Microsoft Word 2000 Sim Não
Microsoft Word XP Sim Sim
Microsoft Word 2003 Sim Sim
Microsoft Word Viewer 2003 Sim Sim
Microsoft Office 2004 para Mac Não Não
Nota As actualizações do Microsoft Works 2004, 2005 e 2006 são as mesmas do Microsoft Word 2002.
Para mais informações sobre programas que o Microsoft Update e o MBSA 2.0 não detectam actualmente, consulte o artigo 895660 da Base de Dados de Conhecimento da Microsoft.
Microsoft Word 2002 Sim Sim
Microsoft Word v.X para Mac Não Não
Microsoft Word 2004 para Mac Não Não
Nota Se tiver utilizado um Ponto de Instalação Administrativa (AIP) para implementar o Office 2000, Office XP ou Office 2003, poderá não ser capaz de implementar a actualização utilizando o SMS se tiver actualizado o AIP a partir da linha base original.
Para obter mais informações sobre como alterar a fonte para um computador cliente a partir de um ponto de instalação administrativa actualizado para uma fonte com linha de base original Office 2000 ou Service Pack 3 (SP3), consulte o Artigo 932889 da Base de Dados de Conhecimento da Microsoft.
Para obter mais informações sobre como alterar a fonte para um computador cliente a partir de um ponto de instalação administrativa actualizado para uma fonte com linha de base original Office XP ou Service Pack 3 (SP3), consulte o Artigo 922665 da Base de Dados de Conhecimento da Microsoft.
Para obter mais informações sobre como alterar a fonte para um computador cliente a partir de um ponto de instalação administrativa actualizado para uma fonte com linha de base original Office 2003 ou Service Pack 2 (SP2), consulte o Artigo 902349 da Base de Dados de Conhecimento da Microsoft.
Vulnerabilidade de Cadeia Mal Formada no Word - CVE-2006-5994:
Existe uma vulnerabilidade de execução remota de código na forma como o Microsoft Word processa ficheiros Word com uma cadeia concebida especialmente para o efeito. Esse ficheiro poderia estar incluído como um anexo de correio electrónico ou alojado num web site malicioso. Um intruso poderia explorar esta vulnerabilidade criando um ficheiro Word especialmente concebido para o efeito, que poderia permitir a execução remota de código.
Factores atenuantes para a Vulnerabilidade de cadeia mal formada no Word - CVE-2006-5994:
Num cenário de ataque com base na Web, um intruso teria de alojar um Web site contendo um ficheiro do Word que fosse utilizado para tentar explorar esta vulnerabilidade. Além disso, os Web sites afectados e os Web sites que aceitam ou alojam conteúdos fornecidos por utilizadores poderiam conter conteúdos especialmente concebidos que poderiam explorar esta vulnerabilidade. Um intruso não conseguiria obrigar os utilizadores a visitarem um Web site mal intencionado. Em vez disso, um intruso teria de persuadi-los a visitar o Web site, normalmente conseguindo que clicassem numa hiperligação que os levasse ao site do intruso.
O Microsoft Office Word 2007 não é afectado por esta vulnerabilidade.
O Microsoft Word Viewer 2003 não é afectado por esta vulnerabilidade.
Soluções alternativas para a Vulnerabilidade de Cadeia Mal Formada no Word - CVE-2006-5994
Não abra ou guarde ficheiros Microsoft Word que tenha recebido de fontes não-fidedignas, ou que recebeu de fontes fidedignas, mas que de alguma forma não correspondem ao que é habitual. É possível tirar partido desta vulnerabilidade quando um utilizador abre um ficheiro.
Use o Microsoft Word Viewer 2003 para abrir e ver ficheiros. O Microsoft Word Viewer 2003 não é afectado por esta questão. Os utilizadores podem transferir o Microsoft Word Viewer 2003 do Centro de Transferências Microsoft.
Perguntas mais frequentes sobre a Vulnerabilidade de Cadeia Mal Formada no Word - CVE-2006-5994:
Existe uma vulnerabilidade de execução remota de código no Microsoft Word. Se um utilizador tiver sessão iniciada com privilégios administrativos, um intruso que conseguisse tirar partido desta vulnerabilidade poderia obter controlo total sobre um sistema afectado. Um intruso poderia então instalar programas; ver, alterar ou eliminar dados; ou ainda criar novas contas com todos os privilégios. Os utilizadores cujas contas estão configuradas com menos direitos de utilização no sistema podem correr menos riscos do que os utilizadores que trabalham com direitos de utilização de administrador.
O Word não efectua uma validação de dados suficiente quando está a processar os conteúdos de um ficheiro. Quando o Word abre um ficheiro Word especialmente concebido para o efeito e analisa uma cadeia mal formada, isso pode danificar a memória do sistema de tal forma que é possível a um intruso executar código arbitrário.
Num cenário de ataque com base em correio electrónico, um intruso poderia explorar a vulnerabilidade enviando um ficheiro especialmente concebido para o efeito ao utilizador e convencendo-o a abrir esse ficheiro. A vulnerabilidade não pode ser explorada através de uma mensagem de correio electrónico em formato HTML ou Rich Text Format (RTF), mesmo que um utilizador tenha configurado o Word como editor de correio electrónico.
A actualização remove a vulnerabilidade modificando a forma como o Microsoft Word processa determinadas cadeias.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2006-5994.
Vulnerabilidade de Estruturas de Dados Mal Formadas no Word - CVE-2006-6456:
Existe uma vulnerabilidade de execução remota de código na forma como o Microsoft Word processa ficheiros Word com uma estrutura de dados concebida especialmente para o efeito. Esse ficheiro poderia estar incluído como um anexo de correio electrónico ou alojado num web site malicioso. Um intruso poderia explorar esta vulnerabilidade criando um ficheiro Word especialmente concebido para o efeito, que poderia permitir a execução remota de código. Ver ou pré-visualizar uma mensagem de correio electrónico mal formada numa versão afectada do Outlook não poderia levar à exploração desta vulnerabilidade.
Factores atenuantes para a Vulnerabilidade de Estruturas de Dados Mal Formadas no Word - CVE-2006-6456:
Soluções alternativas para a Vulnerabilidade de Estruturas de Dados Mal Formadas no Word - CVE-2006-6456:
Perguntas mais frequentes sobre a Vulnerabilidade de Estruturas de Dados Mal Formadas no Word - CVE-2006-6456:
O Word não efectua uma validação de dados suficiente quando está a processar os conteúdos de um ficheiro. Quando o Word abre um ficheiro Word especialmente concebido para o efeito e analisa uma estrutura de dados mal formada, isso pode danificar a memória do sistema de tal forma que é possível a um intruso executar código arbitrário.
A actualização remove a vulnerabilidade modificando a forma como o Microsoft Word processa determinadas estruturas de dados.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2006-6456.
Vulnerabilidade nas Contagens do Word – CVE-2006-6561:
Existe uma vulnerabilidade de execução remota de código no Microsoft Word. Um intruso poderia explorar esta vulnerabilidade quando o Word analisa um ficheiro e processa uma contagem não verificada. Esse ficheiro poderia estar incluído como um anexo de correio electrónico ou alojado num web site malicioso. Um intruso poderia explorar esta vulnerabilidade criando um ficheiro Word especialmente concebido para o efeito, que poderia permitir a execução remota de código. Ver ou pré-visualizar uma mensagem de correio electrónico mal formada numa versão afectada do Outlook não poderia levar à exploração desta vulnerabilidade.
Factores Atenuantes para a Vulnerabilidade nas Contagens do Word - CVE-2006-6561:
Soluções alternativas para a Vulnerabilidade nas Contagens do Word - CVE-2006-6561:
Perguntas mais frequentes sobre a Vulnerabilidade nas Contagens do Word - CVE-2006-6561:
O Word não efectua uma validação de dados suficiente quando está a processar os conteúdos de um ficheiro. Quando o Word abre um ficheiro Word especialmente concebido para o efeito e analisa uma contagem não verificada, isso pode danificar a memória do sistema de tal forma que é possível a um intruso executar código arbitrário.
A actualização elimina a vulnerabilidade, alterando a forma como o Microsoft Word verifica a contagem, antes de transmitir a mensagem para a memória intermédia atribuída.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2006-6561.
Vulnerabilidade nas Macros do Word – CVE-2007-0208:
Factores atenuantes para a Vulnerabilidade nas Macros do Word – CVE-2007-0208:
O Microsoft Word 2000 e o Microsoft Word Viewer 2003 não são afectados por esta vulnerabilidade.
Soluções alternativas para a Vulnerabilidade nas Macros do Word – CVE-2007-0208:
Use o Word Viewer 2003 para abrir e ver ficheiros. O Word Viewer 2003 não é afectado por esta questão. Os utilizadores podem transferir o Microsoft Word Viewer 2003 do Centro de Transferências Microsoft.
Perguntas mais frequentes sobre a Vulnerabilidade nas Macros do Word – CVE-2007-0208:
A vulnerabilidade acontece porque o Word verifica incorrectamente as propriedades de um documento modificado, não enviando um aviso de segurança de macros ao utilizador quando estas estão presentes no documento.
Na generalidade, o termo macro refere-se a um pequeno programa que automatiza tarefas executadas frequentemente num sistema operativo ou num programa. Por exemplo, todos os membros da família de produtos do Office suportam a utilização de macros. Isso permite que as empresas desenvolvam macros executadas como ferramentas de produtividade sofisticadas incluídas no Word, no Excel ou noutros programas. Como qualquer programa informático, as macros podem ser mal utilizadas. Um software nocivo pode ser gravado como macros e, posteriormente, incorporado em documentos Office. Para atenuar esta ameaça, o Office dispõe de um modelo de segurança concebido para garantir que as macros só podem ser executadas quando o utilizador assim o desejar. Utilizando esta vulnerabilidade, um intruso poderia executar uma macro sem avisar o utilizador de que a macro está presente no documento.
Um intruso poderia tentar explorar esta vulnerabilidade criando um documento Word especialmente concebido para o efeito contendo uma macro nociva. Então, o intruso poderia enviá-lo a um utilizador, normalmente através de uma mensagem de correio electrónico, e, depois, persuadir o utilizador a abrir o documento. Deste modo, se o utilizador fosse atacado através desta vulnerabilidade, o nível de segurança da macro do utilizador poderia ser reduzido e outras macros, que normalmente seriam impedidas pelo Word, poderiam ser executadas. Um intruso também poderia alojar o documento Word especialmente concebido para o efeito numa partilha de rede ou num Web site. Contudo, o intruso ainda teria de persuadir o utilizador a abrir o documento.
A actualização remove a vulnerabilidade modificando a forma como o Microsoft Word executa determinados controlos de segurança de macros quando abre um documento.
Vulnerabilidade de Objecto de Desenho Mal Formado no Word - CVE-2007-0209:
Existe uma vulnerabilidade de execução remota de código no Microsoft Word. Um intruso poderia explorar esta vulnerabilidade quando o Word analisa um ficheiro e processa um objecto de desenho mal formado. Esse ficheiro poderia estar incluído como um anexo de correio electrónico ou alojado num web site malicioso. Um intruso poderia explorar esta vulnerabilidade criando um ficheiro Word especialmente concebido para o efeito, que poderia permitir a execução remota de código.
Factores atenuantes para a Vulnerabilidade de Objecto de Desenho Mal Formado no Word - CVE-2007-0209:
O Microsoft Word 2003 e o Microsoft Word Viewer 2003 não são afectados por esta vulnerabilidade.
Soluções alternativas para a Vulnerabilidade de Objecto de Desenho Mal Formado no Word - CVE-2007-0209:
Perguntas mais frequentes sobre a Vulnerabilidade de Objecto de Desenho Mal Formado no Word - CVE-2007-0209:
O Word não efectua uma validação de dados suficiente quando está a processar os conteúdos de um ficheiro. Quando o Word abre um ficheiro Word especialmente concebido para o efeito e analisa um objecto de desenho mal formado, isso pode danificar a memória do sistema de tal forma que é possível a um intruso executar código arbitrário.
A actualização remove a vulnerabilidade modificando a forma como o Microsoft Word processa determinados objectos de desenho.
Vulnerabilidade de Função Mal Formada no Word - CVE-2007-0515:
Existe uma vulnerabilidade de execução remota de código no Microsoft Word. Um intruso poderia explorar esta vulnerabilidade quando o Word analisa um ficheiro e processa uma função mal formada. Esse ficheiro poderia estar incluído como um anexo de correio electrónico ou alojado num web site malicioso. Ver ou pré-visualizar uma mensagem de correio electrónico mal formada numa versão afectada do Outlook não poderia levar à exploração desta vulnerabilidade. Um intruso poderia explorar esta vulnerabilidade criando um ficheiro Word especialmente concebido para o efeito, que poderia permitir a execução remota de código.
Factores atenuantes para a Vulnerabilidade de Função Mal Formada no Word - CVE-2007-0515:
O Microsoft Word 2002, o Microsoft Word 2003 e o Microsoft Word Viewer 2003 não são afectados por esta vulnerabilidade.
Soluções alternativas para a Vulnerabilidade de Função Mal Formada no Word - CVE-2007-0515:
Perguntas mais frequentes sobre a Vulnerabilidade de Função Mal Formada no Word - CVE-2007-0515:
O Word não efectua uma validação de dados suficiente quando está a processar os conteúdos de um ficheiro. Quando o Word abre um ficheiro Word especialmente concebido para o efeito e analisa uma função mal formada, isso pode danificar a memória do sistema de tal forma que é possível a um intruso executar código arbitrário.
Sim. Esta vulnerabilidade foi divulgada publicamente. Foi-lhe atribuído o número de Vulnerabilidade e Exposição Comum CVE-2007-0515.
Transferir esta actualização de segurança para o Word 2000.
Winword.exe 9.0.0.8958 17-Jan-2007 02:51 8,835,124
Nota Dependendo da versão do sistema operativo, do idioma, ou dos programas instalados, alguns dos ficheiros incluídos na tabela de informações de ficheiro poderão não estar instalados.
O9PRM, O9PRO, O9SBE, O9PIPC1, O9PIPC2, O9STD, O9WDI, O9WRD Ficheiros WORD
O Office XP Service Pack 3 (SP3) deve estar instalado. Antes de instalar esta actualização, instale o Office XP SP3. Para obter mais informações sobre como instalar o Office XP SP3, consulte o artigo 832671 da Base de Dados de Conhecimento da Microsoft.
Esta actualização estará disponível através do Web site do Microsoft Update. O Microsoft Update concentra actualizações fornecidas pelo Windows Update e Office Update num único local e permite-lhe optar pela entrega e instalação automáticas de actualizações de segurança de elevada prioridade. Recomendamos que instale esta actualização utilizando o Web site do Microsoft Update. O Web site do Microsoft Update detecta qual a instalação em particular do utilizador e indica exactamente quais as actualizações que têm de ser instaladas para garantir que a instalação do utilizador está totalmente actualizada.
/n:v Sem verificação da versão; instalar o programa sobre qualquer versão anterior.
Transferir a actualização de segurança para o Word 2002.
Winword.exe 10.0.6826.0 17-Jan-2007 07:53 10,741,088
Nota São fornecidas instruções adicionais no Artigo 832332 da Base de Dados de Conhecimento da Microsoft. Também é possível encontrar informações relativas a esta actualização no Web site do Microsoft Office XP Resource Kit. É ainda possível encontrar informações gerais acerca do Microsoft Office XP Resource Kit no Web site TechNet. A Documentação do Windows Installer também fornece informações adicionais acerca dos parâmetros suportados pelo Windows Installer.
Para actualizar o Office 2003, é necessário ter instalado o Office 2003 Service Pack 2. Antes de instalar esta actualização, instale o Office 2003 SP2.
Para actualizar o Word Viewer 2003, deve ter a versão mais recente do Word Viewer 2003 instalada. Transferir a versão mais recente do Word Viewer 2003.
Transferir a actualização de segurança para o Word 2003 e/ou Word Viewer 2003.
Winword.exe 11.0.8125.0 23-Jan-2007 23:03 12,263,776
Word Viewer 2003:
Wordview.exe 11.0.8125.0 23-Jan-2007 23:03 6,963,552
STD11, BASIC11, PERS11, PROI11, PRO11, STDP11, WORD11, PRO11SB Ficheiros WORD
Word 2004 para Mac
Abra o volume da Actualização Microsoft Office 2004 para Mac 11.3.4 na sua área de trabalho. Este passo pode ter sido executado pelo administrador de sistema.
Para iniciar o processo de actualização, na janela do volume de Actualização Microsoft Office 2004 para Mac 11.3.4, faça duplo clique na aplicação da Actualização Microsoft Office 2004 para Mac 11.3.4 e siga as instruções no ecrã.
Se a instalação foi concluída com sucesso, pode remover o programa de instalação da actualização do seu disco rígido. Para verificar se a instalação foi concluída com sucesso, consulte a secção “Verificação da Instalação da Actualização”. Para remover o programa de instalação, primeiro arraste o volume da Actualização Microsoft Office 2004 para Mac 11.3.4 para o caixote do lixo e, em seguida, faça o mesmo para o ficheiro que transferiu.
Se o número da versão for 11.3.4, a actualização foi instalada com sucesso.
Shih-hao Weng, da Information and Communication Security Technology Center, por fornecer informações sobre a Vulnerabilidade de Cadeia Mal Formada no Word (CVE-2006-5994).
Shih-hao Weng, da Information and Communication Security Technology Center, por fornecer informações sobre a Vulnerabilidade de Estruturas de Dados Mal Formadas no Word (CVE-2006-6456).
USAA, por fornecer informações sobre a Vulnerabilidade nas Macros do Word – CVE-2007-0208.