Entrar

MS03-036: Saturação do buffer no conversor do WordPerfect poderia permitir execução de código

Este artigo foi arquivado. É oferecido "como está" e não será mais atualizado.
Sintomas
Com os conversores fornecidos pelo Microsoft Office, os usuários podem importar e editar arquivos que usam formatos que não são originais do Office. Esses conversores são disponibilizados como parte da instalação padrão do Office e também estão disponíveis separadamente no Microsoft Office Converter Pack. Esses conversores podem ser muito úteis para empresas que usam o Office XP em um ambiente misto com versões anteriores do Office e outros programas, incluindo o Office para o Macintosh e programas de produtividade de terceiros.

Existe uma falha na forma com que o conversor do Microsoft WordPerfect trata os documentos do Corel WordPerfect. Existe uma vulnerabilidade de segurança porque o conversor não valida corretamente determinados parâmetros ao abrir um documento do WordPerfect; isso resulta em um buffer não-verificado. Por isso, um invasor poderia criar um documento malicioso do WordPerfect que permitiria que um código de sua escolha fosse executado se um programa que usa o conversor do WordPerfect abrisse o documento. O Microsoft Word e o Microsoft PowerPoint (que fazem parte do pacote Office), o FrontPage (disponível como parte do pacote Office ou separadamente), o Publisher e o Microsoft Works Suite podem usar o conversor WordPerfect do Microsoft Office.

A vulnerabilidade poderá apenas ser explorada por um invasor que consiga convencer um usuário a abrir um documento malicioso do WordPerfect. Um invasor não pode forçar um usuário a abrir um documento malicioso e não pode usar essa vulnerabilidade para disparar um ataque automático por email.
Fatores atenuantes
  • O usuário deve abrir o documento malicioso para que um ataque tenha êxito. Um invasor não pode forçar a abertura automática do documento.
  • A vulnerabilidade não pode ser explorada automaticamente por email. Um usuário deve abrir um anexo enviado por email para que um ataque feito por email possa ter êxito.
  • Por padrão, o Microsoft Outlook Express 6.0 e o Microsoft Outlook 2002 bloqueiam o acesso por programação aos seus Catálogos de endereços. Além disso, o Microsoft Outlook 98 e o Microsoft Outlook 2000 bloqueiam o acesso por programação ao Catálogo de endereços do Outlook se a Atualização de segurança de email do Outlook tiver sido instalada. Clientes que usam qualquer um desses produtos não correm o risco de propagar um ataque por email que tente explorar essa vulnerabilidade.
Resolução

Informações sobre o patch de segurança

Informações sobre o download e a instalação

Se você estiver usando um dos programas a seguir
  • Microsoft Office XP
  • Microsoft FrontPage 2002
  • Microsoft Publisher 2002
  • Microsoft Works 2003
  • Microsoft Works 2002
consulte o artigo abaixo na Base de Dados de Conhecimento da Microsoft:
824938 Visão geral do patch de segurança referente ao conversor do WordPerfect 5.x para Office XP: 03.09.03


Se você estiver usando um dos programas a seguir
  • Microsoft Office 2000
  • Microsoft FrontPage 2000
  • Microsoft Publisher 2000
  • Microsoft Works 2001
consulte o artigo abaixo na Base de Dados de Conhecimento da Microsoft:
824993 Visão Geral do Patch de Segurança Referente ao Conversor do WordPerfect 5.x Para Office 2000 03.09.03


Se você estiver executando um dos programas a seguir
  • Microsoft Office 97
  • Microsoft Word para Windows 98 (japonês)
consulte o artigo abaixo na Base de Dados de Conhecimento da Microsoft para obter informações adicionais:
827656 Visão geral do Patch de Segurança do Conversor do WordPerfect 5.x Para Office 97 03.09.03


Remoção do patch


Não é possível remover esse patch.

Informações sobre a substituição do patch


Esse patch não substitui nenhum outro.
Referências
Para obter informações adicionais sobre essas vulnerabilidades, visite o seguinte site (em inglês) da Microsoft:
Propriedades

ID do Artigo: 827103 - Última Revisão: 02/27/2014 05:28:56 - Revisão: 3.0

  • Microsoft Office XP Standard Edition
  • Microsoft Office 2000 Standard Edition
  • Microsoft Office 97 Standard Edition
  • Microsoft Word 98 Standard Edition
  • Microsoft FrontPage 2002 Standard Edition
  • Microsoft FrontPage 2000 Standard Edition
  • Microsoft Publisher 2002 Standard Edition
  • Microsoft Publisher 2000 Standard Edition
  • Microsoft Works Suite 2003 Standard Edition
  • Microsoft Works Suite 2002 Standard Edition
  • Microsoft Works Suite 2001 Standard Edition
  • kbnosurvey kbarchive kbbug kbfix kbsecvulnerability kbsecurity kbsecbulletin KB827103
Comentários