ESTE SERVIÇO PODE CONTER TRADUÇÕES FEITAS PELO GOOGLE. O GOOGLE SE ISENTA DE TODAS AS GARANTIAS RELACIONADAS ÀS TRADUÇÕES, EXPRESSAS OU IMPLÍCITAS, INCLUINDO QUALQUER RESPONSABILIDADE EM RELAÇÃO À PRECISÃO, CONFIABILIDADE E QUALQUER DEVER IMPLÍCITO SOBRE SUA COMERCIALIZAÇÃO, ADEQUAÇÃO PARA UM FIM ESPECÍFICO E NÃO-VIOLAÇÃO.

Para sua conveniência, o site da Kaspersky Lab foi traduzido com a utilização do software de tradução Google Tradutor. Foram realizados esforços razoáveis para o oferecimento de uma tradução precisa; entretanto, as traduções automatizadas não são perfeitas e tampouco pretendem substituir a tradução qualificada de especialistas. Essas traduções são fornecidas como um serviço para os usuários do site da Kaspersky Lab e são exibidas "como estão". Não há nenhuma garantia de qualquer tipo, seja expressa ou implícita, sobre a precisão, confiabilidade, ou exatidão de quaisquer traduções feitas do inglês para qualquer outro idioma. Alguns conteúdos (como imagens, vídeos, Flash, etc.) podem não estar corretamente traduzidos devido às limitações do programa de tradução.

KLA10616
Várias vulnerabilidades no Microsoft Office
Atualizado: 07/05/2018
Data de detecção
?
12/09/2014
Nível de gravidade
?
Crítico
Descrição

Várias vulnerabilidades sérias foram encontradas nos produtos do Microsoft Office. Usuários mal-intencionados podem explorar essas vulnerabilidades para executar código arbitrário, causar negação de serviço, perda de integridade, desvio de segurança, escalonamento de privilégios e obter informações confidenciais.

Abaixo está uma lista completa de vulnerabilidades

  1. O Microsoft Office manipula incorretamente objetos na memória ao analisar arquivos do Office criados que podem levar à execução de código arbitrário no contexto do usuário atual. Se o usuário atual tiver direitos de usuário administrativo, os usuários mal-intencionados poderão assumir o controle total do sistema. Os usuários com menos direitos de usuário podem sofrer menos impacto.
  2. Vulnerabilidade no componente Microsoft IME (japonês) pode levar a obter acesso ao sistema afetado com direitos de usuário conectados. Se o usuário atual tiver direitos de usuário administrativo, os usuários mal-intencionados poderão assumir o controle total do sistema. Os usuários com menos direitos de usuário podem sofrer menos impacto.
  3. A biblioteca de controles comuns do MSCOMCTL não implementa adequadamente o ASLR, o que pode levar a um desvio do recurso de segurança do ASLR por meio do site criado. Esta vulnerabilidade também conhecida como "Vulnerabilidade de ASLR do MSCOMCTL".
  4. O Microsoft Office não manipula adequadamente uma resposta criada ao abrir um documento do Office por meio do site, o que pode levar à obtenção de informações confidenciais do token. Essas informações podem ser usadas para autenticar o usuário atual em um serviço online da Microsoft direcionado. Esta vulnerabilidade também conhecida como "Vulnerabilidade de reutilização de token".
  5. Vulnerabilidade na biblioteca do Microsoft Publisher pubconv.dll pode levar a código arbitrário de execução como o usuário atual por meio de arquivos criados com extensão '.pub'. Esta vulnerabilidade também conhecida como "Vulnerabilidade de cancelamento de referência de ponteiro arbitrário".
  6. O Microsoft Office alocou memória incorreta ao converter arquivos especialmente criados para um formato mais novo que pode levar à execução de código arbitrário. Se o usuário atual tiver direitos de usuário administrativo, os usuários mal-intencionados poderão assumir o controle total do sistema. Os usuários com menos direitos de usuário podem sofrer menos impacto.
  7. O Microsoft Word tem vulnerabilidade de estouro de buffer de pilha ao abrir documentos especialmente criados. Essa vulnerabilidade pode levar à execução de código arbitrário como o usuário atual. Se o usuário atual tiver direitos de usuário administrativo, os usuários mal-intencionados poderão assumir o controle total do sistema. Os usuários com menos direitos de usuário podem sofrer menos impacto. Esta vulnerabilidade também conhecida como "Vulnerabilidade de estouro de pilha do Microsoft Word".
  8. O Microsoft Word tem vulnerabilidade de execução remota de código enquanto analisa dados RTF especialmente criados. Essa vulnerabilidade pode levar à execução de código arbitrário como o usuário atual. Se o usuário atual tiver direitos de usuário administrativo, os usuários mal-intencionados poderão assumir o controle total do sistema.
  9. O Microsoft Office tem vulnerabilidade de execução remota de código ao abrir o documento do Office. Esta vulnerabilidade pode levar à execução de código arbitrário e causar negação de serviço. Também usuários mal-intencionados podem obter acesso ao sistema afetado com direitos de usuário conectados. Se o usuário atual tiver direitos de usuário administrativo, os usuários mal-intencionados poderão assumir o controle total do sistema. Os usuários com menos direitos de usuário podem sofrer menos impacto. Esta vulnerabilidade também conhecida como "Vulnerabilidade de corrupção de memória do Word".
  10. O Microsoft OneNote tem vulnerabilidade de execução remota de código ao abrir o arquivo do OneNote. Essa vulnerabilidade pode levar à execução de código arbitrário como o usuário atual. Se o usuário atual tiver direitos de usuário administrativo, os usuários mal-intencionados poderão assumir o controle total do sistema. Os usuários com menos direitos de usuário podem sofrer menos impacto. Esta vulnerabilidade também conhecida como "Vulnerabilidade de Execução Remota de Código do OneNote".
  11. Vulnerabilidade na biblioteca usp.dll no Unicode Script Processor pode levar à execução de código arbitrário ou causar negação de serviço. Usuários maliciosos também podem assumir o controle total do sistema. Esta vulnerabilidade também conhecida como "Vulnerabilidade do Processador de Scripts Unicode".
  12. Vulnerabilidade no GDI + que pode levar à execução de código arbitrário por meio de um arquivo de imagem criado. Usuários maliciosos também podem assumir o controle total do sistema. Esta vulnerabilidade também conhecida como "Vulnerabilidade de análise de imagem GDI +".
Produtos afetados

Microsoft Office 2003,
Microsoft Office 2007,
Microsoft Office 2010,
Microsoft Office 2013,
Microsoft Office 2013 RT,
Microsoft Office para Mac,
Microsoft Word Viewer,
Microsoft Office Web Apps,
Microsoft SharePoint Server,
Pacote de Compatibilidade do Microsoft Office,
Microsoft Office Web Apps,
Microsoft OneNote.

Solução

Instale as atualizações necessárias da seção KB, listadas no Windows Update (geralmente, o Windows Update pode ser acessado no Painel de Controle)

Comunicados originais

MS14-081
MS14-082
MS14-083
MS14-078
MS14-069
MS14-061
MS14-048
MS14-036
MS14-034
MS14-023
MS14-024
MS14-020
MS14-017
MS14-001

Impactos
?
WLF 
[?]

RLF 
[?]

ACE 
[?]

OSI 
[?]

SB 
[?]

PE 
[?]

DoS 
[?]

LoI 
[?]
Produtos relacionados
Microsoft Office
CVE-IDS
?

CVE-2014-2815
CVE-2014-0260
CVE-2014-0259
CVE-2014-0258
CVE-2014-1761
CVE-2014-1758
CVE-2014-1757
CVE-2014-1756
CVE-2014-1808
CVE-2014-1809
CVE-2014-4117
CVE-2014-6335
CVE-2014-6334
CVE-2014-6333
CVE-2014-6361
CVE-2014-6360
CVE-2014-6364
CVE-2014-6357
CVE-2014-4077
CVE-2014-2778
CVE-2014-1817
CVE-2014-1818

Comunicados oficiais da Microsoft
MS14-081
MS14-082
MS14-083
MS14-078
MS14-069
MS14-061
MS14-048
MS14-036
MS14-034
MS14-023
MS14-024
MS14-020
MS14-017
MS14-001
Lista KB

3017301
3017349
3017347
2992719
3009710
3000434
2969261
2961033
2961037
2950145
2949660
2916605
2977201
2967487


Link para o original