CVE-2016-7193

Falha de corrupção de memória no parser de RTF do Microsoft Word, explorável via documento .rtf malicioso para execução de código arbitrário no contexto do usuário que abre o arquivo. Está no catálogo KEV da CISA, confirmando exploração ativa, mas o vetor exige que a vítima abra ou visualize o arquivo — não é uma falha de rede sem interação.

A vulnerabilidade é uma corrupção de memória (CWE-119, erro de limite de buffer) no código do Word responsável por interpretar arquivos RTF. O parser falha ao validar corretamente algum campo ou estrutura dentro do documento RTF, permitindo que dados controlados pelo atacante sobrescrevam regiões de memória fora dos limites esperados. A Microsoft não detalhou publicamente qual estrutura RTF específica dispara o bug nem publicou análise de causa raiz; o boletim MS16-121 apenas descreve genericamente 'falha ao lidar com arquivos RTF'.

O atacante controla o conteúdo do arquivo RTF entregue à vítima. Como o RTF é processado por uma biblioteca compartilhada entre várias superfícies (Word desktop, visualizador, conversores de documento em servidor), a mesma falha de parsing afeta múltiplos componentes que consomem esse formato, o que explica a lista extensa de produtos corrigidos no mesmo boletim.

Há uma divergência entre fontes quanto ao service pack afetado do Office 2007: a descrição oficial da CVE cita 'Word 2007 SP2', enquanto o boletim MS16-121 da Microsoft lista 'Microsoft Word 2007 Service Pack 3' como o alvo do update. Ambas as fontes foram preservadas aqui sem tentar reconciliar — trate o MS16-121 como referência primária para decisão de patch.

O vetor primário é um documento RTF malicioso entregue por e-mail, link de download ou qualquer canal que leve a vítima a abrir o arquivo no Word (ou em qualquer componente que o processe, como o Word Viewer). O vetor CVSS 3.1 (AV:L/AC:L/PR:N/UI:R) reflete isso: ataque de escopo local, sem necessidade de privilégio, mas com interação do usuário obrigatória — a vítima precisa abrir ou visualizar o arquivo.

Componentes de servidor que processam RTF de forma automatizada — Word Automation Services no SharePoint Server 2010/2013, Office Web Apps e Office Online Server — representam uma superfície adicional: se esses serviços convertem ou renderizam documentos enviados por usuários não confiáveis (upload, biblioteca de documentos), a exploração pode ocorrer sem interação humana direta a cada tentativa, dependendo de como o fluxo de conversão é acionado.

A CVE está no catálogo KEV da CISA (adicionada em 2022-03-03, prazo de correção 2022-03-24), confirmando exploração no mundo real, embora a CISA não classifique a falha como usada em campanhas de ransomware ('Unknown'). As fontes disponíveis não detalham o ator, campanha ou período específico de exploração observada — apenas o fato da inclusão no catálogo.

Aplicar as atualizações do boletim MS16-121 (KB3194063) correspondentes a cada produto: Word 2007, Office/Word 2010 SP2, Word 2013 SP1, Word 2013 RT SP1, Word 2016, Word for Mac 2011, Word 2016 for Mac, Office Compatibility Pack SP3, Word Viewer, Word Automation Services (SharePoint 2010 SP2 e 2013 SP1), Office Web Apps 2010 SP2, Office Web Apps Server 2013 SP1 e Office Online Server. Cada plataforma tem seu próprio KB de atualização listado no boletim; não existe um único patch universal.

As fontes disponíveis não descrevem um workaround de configuração (registro, GPO, flag) que mitigue a falha sem aplicar o patch — o boletim trata a correção como a única ação recomendada. Não há indicação nas fontes de que Protected View, bloqueio de macros ou desabilitar visualização prévia neutralizem esta corrupção de memória específica; qualquer afirmação nesse sentido não está sustentada pelo material revisado.

As fontes revisadas não publicam assinaturas, hashes ou indicadores de comprometimento associados à exploração desta CVE. Não há neste material um sinal confiável e específico de tentativa de exploração — o único dado concreto é a inclusão no catálogo KEV da CISA, que confirma exploração histórica sem detalhar TTPs, campanha ou IOCs.