Source: https://technet.microsoft.com/pt-BR/library/security/ms14-024.aspx
Timestamp: 2017-07-26 11:04:35+00:00
Document Index: 46314783

Matched Legal Cases: ['Artigo 294871', 'Artigo 830335', 'Artigo 830335', 'Artigo 887012', 'Artigo 2596804', 'Artigo 2817330', 'Artigo 2880507', 'Artigo 2880508', 'Artigo 2589288', 'Artigo 2810073', 'Artigo 2880971', 'Artigo 2760272', 'Artigo 2880502', 'Artigo 2760272']

Boletim de Segurança da Microsoft MS14-024 - Importante
MS14-024 MS14-085 MS14-084 MS14-083 MS14-082 MS14-081 MS14-080 MS14-079 MS14-078 MS14-077 MS14-076 MS14-075 MS14-074 MS14-073 MS14-072 MS14-071 MS14-070 MS14-069 MS14-068 MS14-067 MS14-066 MS14-065 MS14-064 MS14-063 MS14-062 MS14-061 MS14-060 MS14-059 MS14-058 MS14-057 MS14-056 MS14-055 MS14-054 MS14-053 MS14-052 MS14-051 MS14-050 MS14-049 MS14-048 MS14-047 MS14-046 MS14-045 MS14-044 MS14-043 MS14-042 MS14-041 MS14-040 MS14-039 MS14-038 MS14-037 MS14-036 MS14-035 MS14-034 MS14-033 MS14-032 MS14-031 MS14-030 MS14-029 MS14-028 MS14-027 MS14-026 MS14-025 MS14-024 MS14-023 MS14-022 MS14-021 MS14-020 MS14-019 MS14-018 MS14-017 MS14-016 MS14-015 MS14-014 MS14-013 MS14-012 MS14-011 MS14-010 MS14-009 MS14-008 MS14-007 MS14-006 MS14-005 MS14-004 MS14-003 MS14-002 MS14-001 TOC
Vulnerabilidade em um controle comum da Microsoft pode permitir desvio do recurso de segurança (2961033)
Vulnerabilidade de MSCOMCTL ASLR - CVE-2014-1809
Sinopse Esta atualização de segurança elimina uma vulnerabilidade relatada em particular em uma implementação da biblioteca de controles comuns MSCOMCTL. A vulnerabilidade pode permitir desvio de recurso de segurança se um usuário visualizar uma página web especialmente criada em um navegador da Web capaz de cria instâncias de componentes de COM, tais como o Internet Explorer. Em um cenário de ataque de navegação na Web, um invasor que explore com êxito esta vulnerabilidade pode anular o recurso de segurança ASLR (Address Space Layout Randomization), que ajuda a proteger os usuários de uma classe ampla de vulnerabilidades. O desvio de recurso de segurança por si mesmo não permite a execução de códigos arbitrários. No entanto, um invasor podia usar esta vulnerabilidade de desvio do ASLR junto com outra vulnerabilidade, tal como uma vulnerabilidade de execução remota de código, que aproveita o desvio de ASLR para executar código arbitrário.
A atualização de segurança elimina a vulnerabilidade, ajudando a garantir que a biblioteca de controles comuns MSCOMCTL incluída no Microsoft Office implemente corretamente o ASLR. Para obter mais informações sobre a vulnerabilidade, consulte a subseção Perguntas frequentes (FAQ) para a entrada específica de vulnerabilidade mais adiante neste boletim.
Recomendação. Os clientes podem configurar a atualização automática para procurar atualizações online do Microsoft Update, usando o serviço Microsoft Update. Os clientes com a atualização automática habilitada e configurada para procurar atualizações online a partir do Microsoft Update geralmente não precisarão tomar nenhuma providência porque esta atualização de segurança será baixada e instalada automaticamente. Os clientes que não têm o recurso de atualizações automáticas habilitado precisarão verificar as atualizações do Microsoft Update e instalar esta atualização manualmente. Para obter informações sobre opções de configuração específicas em atualizações automáticas, consulte o Artigo 294871 (em inglês) da Microsoft Knowledge Base.
Artigo da Base de Conhecimento Microsoft: 2961033
Softwares afetados Software
Microsoft Office 2007 Microsoft Office 2007 Service Pack 3 (mscomct2)(2596804)
Microsoft Office 2007 Service Pack 3 (mscomctlocx)(2817330)
2687441 no boletim MS12-060
Microsoft Office 2007 Service Pack 3 (msaddndr)(2880508)
Microsoft Office 2007 Service Pack 3 (msstdfmt)(2880507)
Microsoft Office 2010 Microsoft Office 2010 Service Pack 1 (edições de 32 bits) (mscomct2)(2589288)
Microsoft Office 2010 Service Pack 2 (edições de 32 bits) (mscomct2)(2589288)
Microsoft Office 2010 Service Pack 1 (edições de 32 bits) (mscomctlocx)(2810073)
2597986 no boletim MS12-060
Microsoft Office 2010 Service Pack 2 (edições de 32 bits) (mscomctlocx)(2810073)
Microsoft Office 2010 Service Pack 1 (edições de 32 bits) (msaddndr)(2880971)
Microsoft Office 2010 Service Pack 2 (edições de 32 bits) (msaddndr)(2880971)
Microsoft Office 2010 Service Pack 1 (edições de 64 bits) (mscomct2)(2589288)
Microsoft Office 2010 Service Pack 2 (edições de 64 bits) (mscomct2)(2589288)
Microsoft Office 2010 Service Pack 1 (edições de 64 bits) (msaddndr)(2880971)
Microsoft Office 2010 Service Pack 2 (edições de 64 bits) (msaddndr)(2880971)
Microsoft Office 2013 (edições de 32 bits) (mscomct2)(2760272)
Microsoft Office 2013 Service Pack 1 (edições de 32 bits) (mscomct2)(2760272)
Microsoft Office 2013 (edições de 32 bits) (mscomctlocx)(2880502)
Microsoft Office 2013 Service Pack 1 (edições de 32 bits) (mscomctlocx)(2880502)
Microsoft Office 2013 (edições de 64 bits) (mscomct2)(2760272)
Microsoft Office 2013 Service Pack 1 (edições de 64 bits) (mscomct2)(2760272)
Microsoft Office 2013 RT (mscomct2)[1] (2760272)
Microsoft Office 2013 RT Service Pack 1 (mscomct2)[1] (2760272)
[1]Esta atualização está disponível no Windows Update. Softwaresnãoafetados Office e outros softwares
Como o Internet Explorer é afetado por esta vulnerabilidade? A vulnerabilidade existe na a biblioteca de controles comuns MSCOMCTL incluída no software Microsoft Office. Em um cenário de ataque pela Web, essa versão da biblioteca de controles comuns MSCOMCTL pode ser carregada pelo Internet Explorer ao instanciar componentes COM.
Estou recebendo a oferta desta atualização de software que não tenho instalado em meu sistema. Por que eu estou recebendo a oferta desta atualização? Devido ao modelo de serviços para atualizações do Microsoft Office, você pode receber ofertas de atualizações para softwares que não estão instalados em seu sistema. Por exemplo, você pode receber a oferta de uma atualização para um produto do Microsoft Office, mesmo que não tenha o produto específico do Office instalado. Para obter mais informações sobre esse comportamento e ações recomendadas, consulte o Artigo 830335 da Microsoft Knowledge Base.
Esta atualização de software que não está listada especificamente na tabela Softwares afetados está sendo oferecida para mim. Por que eu estou recebendo a oferta desta atualização? Quando as atualizações tratam código vulnerável que existe num componente que é compartilhado entre múltiplos produtos do Microsoft Office ou compartilhado entre múltiplas versões do mesmo produto do Microsoft Office, a atualização é considerada aplicável a todos os produtos com suporte e a versões que contêm o componente vulnerável.
Por exemplo, quando uma atualização se aplica a produtos do Microsoft Office 2007, somente o Microsoft Office 2007 pode ser listado especificamente na tabela de Softwares afetados. No entanto, a atualização pode se aplicar ao Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer, ou qualquer outro produto do Microsoft Office 2007 que não esteja listado especificamente na tabela de Softwares afetados.
Por exemplo, quando uma atualização se aplica a produtos do Microsoft Office 2010, somente o Microsoft Office 2010 pode ser listado especificamente na tabela de Softwares afetados. No entanto, a atualização pode se aplicar ao Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer, ou qualquer outro produto do Microsoft Office 2010 que não esteja listado especificamente na tabela de Softwares afetados.
Para obter mais informações sobre esse comportamento e ações recomendadas, consulte o Artigo 830335 (em inglês) da Microsoft Knowledge Base. Para obter uma lista de produtos do Microsoft Office para os quais possa haver atualização aplicável, consulte o Artigo da Microsoft Knowledge Base relacionado à atualização específica.
Microsoft Office 2007 Service Pack 3 Importante Desvio de recurso de segurança
Microsoft Office 2010 Service Pack 1 (edições de 32 bits) Importante Desvio de recurso de segurança
Microsoft Office 2010 Service Pack 2 (edições de 32 bits) Importante Desvio de recurso de segurança
Microsoft Office 2010 Service Pack 1 (edições de 64 bits) Importante Desvio de recurso de segurança
Microsoft Office 2010 Service Pack 2 (edições de 64 bits) Importante Desvio de recurso de segurança
Microsoft Office 2013 (edições de 32 bits) Importante Desvio de recurso de segurança
Microsoft Office 2013 Service Pack 1 (edições de 32 bits) Importante Desvio de recurso de segurança
Microsoft Office 2013 (edições de 64 bits) Importante Desvio de recurso de segurança
Importante Desvio de recurso de segurança
Microsoft Office 2013 RT Importante Desvio de recurso de segurança
Microsoft Office 2013 RT Service Pack 1 Importante Desvio de recurso de segurança
Existe uma vulnerabilidade de desvio do recurso de segurança, pois a biblioteca de controles comuns MSCOMCTL usada pelo software do Microsoft Office não implementa corretamente o Address Space Layout Randomization (ASLR). A vulnerabilidade pode permitir que um invasor ignore o recurso de segurança ASLR, que ajuda a proteger os usuários contra uma grande classe de vulnerabilidades. O desvio de recurso de segurança por si mesmo não permite a execução de códigos arbitrários. No entanto, um invasor podia usar esta vulnerabilidade de desvio do ASLR junto com outra vulnerabilidade, tal como uma vulnerabilidade de execução remota de código, que aproveita o desvio de ASLR para executar código arbitrário.
Para exibir esta vulnerabilidade como uma entrada padrão na lista Common Vulnerabilities and Exposures, consulte CVE-2014-1809.
A vulnerabilidade não pode ser explorada automaticamente por email. Para um ataque ser bem-sucedido, o usuário deverá abrir ou visualizar um anexo enviado em uma mensagem de email ou clicar em um link contido em uma mensagem de email.
Por padrão, o Internet Explorer no Windows Server 2003, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 e Windows Server 2012 R2 é executado em um modo restrito, conhecido como Configuração de Segurança Reforçada. Esse modo atenua a exploração desta vulnerabilidade por meio do Internet Explorer. Consulte a seção Perguntas frequentes referente a essa vulnerabilidade para obter mais informações sobre a Configuração de Segurança Reforçada do Internet Explorer.
Perguntas frequentes Qual é o escopo da vulnerabilidade? Esta é uma vulnerabilidade de desvio de recurso de segurança. O que provoca a vulnerabilidade? A vulnerabilidade existe, pois a biblioteca de controles comuns MSCOMCTL incluída no software do Microsoft Office não implementa corretamente o Address Space Layout Randomization (ASLR). Como resultado, um invasor pode prever de forma mais confiável os deslocamentos de memória de instruções específicas em uma determinada pilha de chamada.
O que é ASLR? O Address Space Layout Randomization (ASLR) move imagens executáveis em locais aleatórios quando um sistema é inicializado, o que ajuda a evitar que um invasor alavanque dados em locais previsíveis. Para que um componente ofereça suporte a ASLR, todos os componentes que ele carrega também devem oferecer suporte a ASLR. Por exemplo, se A.exe consume B.DLL e C.DLL, todos os três devem oferecer suporte a ASLR. Por padrão, Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 e Windows Server 2012 R2 selecionarão aleatoriamente sistemas DLLs e EXEs, mas DLL e EXEs criados por fornecedores de software independentes (ISVs) devem optar em oferecer suporte a ASLR usando a opção de linker /DYNAMICBASE.
O ASLR também seleciona aleatoriamente memória de pilha e estouro:
Quando um aplicativo cria um heap no Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012, e Windows Server 2012 R2, o gerenciador de heap criará esse heap em um local aleatório para ajudar a reduzir a chance de que uma tentativa de explorar uma saturação de buffer baseada em heap seja bem-sucedida. A randomização de estouro está ativada por padrão para todos os aplicativos que executam o Windows Vista e versões posteriores.
Quando um segmento inicia em um processo vinculado com /DYNAMICBASE, o Windows Vista, o Windows Server 2008, o Windows 7, Windows Server 2008 R2, Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 e Windows Server 2012 R2 movem a pilha do segmento para um local aleatório para ajudar a reduzir a chance de que uma saturação de buffer baseada em pilha seja bem-sucedida.
Para que um invasor pode usar a vulnerabilidade? O invasor que conseguir explorar esta vulnerabilidade pode ignorar o recurso de segurança ASLR. O desvio de recurso de segurança por si mesmo não permite a execução de códigos arbitrários. No entanto, um invasor podia usar esta vulnerabilidade de desvio do ASLR junto com outra vulnerabilidade, tal como uma vulnerabilidade de execução remota de código, que aproveita o desvio de ASLR para executar código arbitrário.
De que forma o invasor pode explorar a vulnerabilidade? No cenário de ataque pela Web, o invasor pode hospedar um site que contenha um arquivo usado para explorar essa vulnerabilidade. O invasor também pode incorporar um controle ActiveX marcado como "seguro para inicialização" em um aplicativo ou documento do Microsoft Office que hospede o mecanismo de processamento do IE. Além disso, sites comprometidos e sites que aceitem ou hospedem conteúdo fornecido pelo usuário podem conter conteúdo especialmente desenvolvido que pode explorar esta vulnerabilidade. Não há como um invasor forçar usuários a visitar o site especialmente criado. Em vez disso, o invasor teria que persuadir os usuários a executarem ações. Por exemplo, um invasor poderia enganar os usuários ao clicar em um link que leve para o site do invasor.
Quando um usuário visita um site que contém conteúdo mal-intencionado usando um navegador da Web capaz de criar instâncias de componentes de COM, como o Internet Explorer, o componente do Microsoft Office afetado pode ser carregado para anular o ASLR.
Um invasor pode ligar esta vulnerabilidade de desvio de recurso de segurança a uma vulnerabilidade adicional, geralmente uma vulnerabilidade de execução remota de código. A vulnerabilidade adicional aproveita o desvio de recurso de segurança para exploração. Por exemplo, uma vulnerabilidade de execução remota de código que é bloqueada por ASLR, pode ser explorada depois de um desvio bem-sucedido de ASLR.
Quais são os principais sistemas que correm riscos com a vulnerabilidade? No cenário de navegação pela Web, a exploração bem-sucedida dessa vulnerabilidade requer que um usuário tenha feito login e esteja visitando sites usando um navegador da Web capaz de criar instâncias de componentes COM. Portanto, quaisquer sistemas nos quais um navegador da Web seja usado com frequência, como estações de trabalho ou servidores de terminal, estão mais expostos a essa vulnerabilidade. Os servidores correm mais riscos se os administradores permitirem que os usuários procurem e leiam emails nos servidores. Entretanto, as práticas recomendadas não recomendam esse procedimento.
O EMET ajuda a atenuar ataques que tentam explorar estas vulnerabilidades? Sim. O Enhanced Mitigation Experience Toolkit (EMET) permite que os usuários gerenciem tecnologias de atenuação de segurança que ajudam a dificultar a exploração de vulnerabilidades por parte dos invasores em uma determinada porção do software. O EMET ajuda a reduzir essa vulnerabilidade no Microsoft Office em sistemas nos quais está instalado e configurado para funcionar com o software do Microsoft Office.
O que a atualização faz? A atualização elimina a vulnerabilidade, ajudando a garantir que a biblioteca de controles comuns MSCOMCTL incluída no Microsoft Office implemente corretamente o ASLR.
Quando este boletim de segurança foi lançado, a Microsoft havia recebido algum relatório informando que essa vulnerabilidade estava sendo explorada? Sim. A Microsoft está ciente dos ataques direcionados limitados que tentam explorar essa vulnerabilidade.
Microsoft Office 2007 (todas as edições) e Pacote de Compatibilidade do Office
Para Microsoft Office 2007:mscomct22007-kb2596804-fullfile-x86-glb.exemscomctlocx2007-kb2817330-fullfile-x86-glb.exemsstdfmt2007-kb2880507-fullfile-x86-glb.exemsaddndr2007-kb2880508-fullfile-x86-glb.exe
Em alguns casos, esta atualização não exige a reinicialização. Se os arquivos exigidos estiverem em uso, será necessária uma reinicialização. Se isso ocorrer, uma mensagem que aconselha a reinicialização será exibida.Para reduzir a chance de uma reinicialização não ser solicitada, interrompa todos os serviços afetados e feche todos os aplicativos que possam usar os arquivos afetados antes de instalar a atualização de segurança. Para obter mais informações sobre os motivos pelos quais você será solicitado a reiniciar, consulte o Artigo 887012 (em inglês) da Microsoft Knowledge Base.
Para Microsoft Office 2007:Consulte o Artigo 2596804 (em inglês) da Microsoft Knowledge Base Artigo 2817330 (em inglês) da Microsoft Knowledge Base,Artigo 2880507 (em inglês) da Microsoft Knowledge Base Artigo 2880508 (em inglês) da Microsoft Knowledge Base
Para Microsoft Office 2010 (edições de 32 bits):mscomct22010-kb2589288-fullfile-x86-glb.exemscomctlocx2010-kb2810073-fullfile-x86-glb.exemsaddndr2010-kb2880971-fullfile-x86-glb.exe
Para Microsoft Office 2010 (edições de 64 bits):mscomct22010-kb2589288-fullfile-x64-glb.exemsaddndr2010-kb2880971-fullfile-x64-glb.exe
Para Microsoft Office 2010: Consulte o Artigo 2589288 (em inglês) da Microsoft Knowledge Base Artigo 2810073 (em inglês) da Microsoft Knowledge Base Artigo 2880971 (em inglês) da Microsoft Knowledge Base Verificação da chave do Registro
Para as edições com suporte do Microsoft Office 2013 (edições de 32 bits):mscomct22013-kb2760272-fullfile-x86-glb.commscomctlocx2013-kb2880502-fullfile-x86-glb.com
Para as edições com suporte do Microsoft Office 2013 (edições de 64 bits):mscomct22013-kb2760272-fullfile-x64-glb.com
Para edições com suporte do software Microsoft Office 2013: Consulte o Artigo 2760272 (em inglês) da Microsoft Knowledge Base e Artigo 2880502 (em inglês) da Microsoft Knowledge Base Verificação da chave do Registro
A atualização 2760272 para o Microsoft Office 2013 RT está disponível pelo Windows Update.
Consulte o Artigo 2760272 (em inglês) da Microsoft Knowledge Base Outras informações
Página gerada 2014-05-07 23:59Z-07:00.