CVE-2006-2492

Falha de corrupção de memória no Microsoft Word, explorada como zero-day em maio de 2006 antes de qualquer patch disponível. Um documento Word malformado — ou um objeto Word embutido dentro de um arquivo Excel ou PowerPoint — corrompe a memória do processo via um ponteiro de objeto inválido, permitindo execução de código arbitrário com os privilégios do usuário que abre o arquivo. Está no catálogo KEV da CISA porque houve exploração confirmada em ataques reais antes da correção.

A vulnerabilidade é uma corrupção de memória (buffer overflow) no parser de documentos do Microsoft Word, disparada por um ponteiro de objeto malformado dentro da estrutura binária do arquivo .doc. Ao processar esse ponteiro inválido durante a abertura do documento, o Word escreve ou lê fora dos limites esperados, corrompendo o heap ou pilha do processo de forma que um atacante controla o fluxo de execução subsequente.

O atacante controla o conteúdo do documento malicioso — especificamente a estrutura do objeto embutido e o ponteiro corrompido — mas não a memória do sistema em tempo real, o que historicamente exigia técnicas de heap grooming e dependia de layout de memória previsível em versões antigas do Windows (sem ASLR robusto).

Um detalhe importante levantado pelo CERT/CC: como o Word processa objetos OLE embutidos, o vetor de ataque não se limita a arquivos .doc. Um documento Excel ou PowerPoint que contenha um objeto Word embutido malicioso também pode disparar a falha quando o objeto é renderizado ou aberto, ampliando a superfície de ataque além do tipo de arquivo óbvio.

O vetor é a abertura de um documento do Word especialmente criado — via anexo de e-mail, download ou compartilhamento de arquivo. A exploração exige interação do usuário (abrir o arquivo); não há vetor remoto sem essa ação, e é por isso que o vetor CVSS marca UI:R apesar do AV:N. Não há necessidade de autenticação nem de configuração não padrão: qualquer instalação das versões afetadas do Office ou Works Suites está exposta ao simples ato de abrir o arquivo.

Um agravante prático identificado pela pesquisa da época: como o documento malicioso pode estar embutido dentro de um arquivo Excel ou PowerPoint, e como o Windows determina o handler pelo cabeçalho do arquivo (não pela extensão), controles baseados em bloqueio por extensão (.doc, .dot, .rtf) não são confiáveis para filtrar o ataque.

A exploração foi reportada como ataque direcionado zero-day pelo SANS Internet Storm Center em 19/05/2006, antes da disponibilidade de patch da Microsoft — o que justifica a inclusão no catálogo KEV da CISA. O resultado final da exploração bem-sucedida é execução de código arbitrário com os privilégios do usuário; se esse usuário tiver privilégios administrativos, o comprometimento do sistema é total.

A correção definitiva é aplicar as atualizações listadas no boletim MS06-027 da Microsoft, que cobre Office 2000 SP3, Office XP SP3, Office 2003 SP1/SP2 e Microsoft Works Suites até 2006. Não temos, nas fontes apuradas, os números de build ou KB específicos por versão — consulte o boletim oficial para o identificador exato aplicável a cada instalação antes de considerar corrigido.

Enquanto o patch não é aplicado, o próprio boletim e o Security Advisory 919637 da Microsoft listam paliativos: executar o Word em modo seguro (winword.exe /safe), que restringe determinados recursos de carregamento de objetos; e não usar o Word como editor de e-mail padrão no Outlook, reduzindo a superfície de renderização automática de documentos recebidos. Nenhum desses paliativos elimina o risco — apenas reduz a probabilidade de exploração automática.

O mito a descartar: filtrar anexos por extensão de arquivo (.doc, .dot, .rtf) não é controle confiável, porque o Word é invocado pelo Windows com base no cabeçalho binário do arquivo, não na extensão — um arquivo renomeado ou com extensão arbitrária ainda pode ser processado como documento Word. A orientação de não abrir documentos não solicitados ou de origem não confiável, embora óbvia, foi a mitigação prática recomendada durante a janela sem patch.

Não há assinatura de log de servidor ou de rede confiável para essa falha, já que a exploração ocorre inteiramente no lado do cliente durante a análise do arquivo pelo Word — não gera tráfego de rede distintivo além da entrega do próprio anexo malicioso. O sinal mais prático é a análise estática do documento (estrutura OLE, ponteiros de objeto malformados) por ferramentas de sandboxing/AV com assinatura para a exploração documentada em 2006, e a observação de comportamento anômalo do processo WINWORD.EXE (crash seguido de execução de processo filho inesperado) em endpoints. Como o vetor pode estar embutido em arquivos Excel/PowerPoint, monitorar apenas anexos com extensão .doc é insuficiente.