CVE-2009-0238

Falha de corrupção de memória no parser de arquivos binários do Microsoft Excel (formato .xls) que permite execução remota de código quando a vítima abre uma planilha malformada. Foi explorada ativamente como 0-day em fevereiro de 2009 — antes de existir patch — via campanhas de spear-phishing que distribuíam o trojan Mdropper.AC, e por isso está no catálogo KEV da CISA. O impacto real depende da versão: em Excel 2000 é crítico (execução com um único clique), nas versões 2002 em diante há um prompt de abrir/salvar que exige uma segunda ação do usuário, reduzindo a severidade prática.

A vulnerabilidade está no código de parsing do formato binário legado do Excel (registros OLE/BIFF do .xls). O aplicativo tenta acessar um objeto interno durante a leitura de um registro do arquivo sem validar corretamente se esse objeto é válido — um ponteiro ou estrutura que pode estar inicializado incorretamente, ausente ou de tipo inesperado dependendo do conteúdo do arquivo. Isso corresponde à classe de falha de acesso a objeto inválido/não confiável (a Microsoft descreve como 'access attempt on an invalid object'; o catálogo KEV da CISA classifica como CWE-94).

O atacante controla o conteúdo do arquivo .xls entregue à vítima: ao manipular os campos e registros internos do formato binário, força o Excel a desreferenciar ou operar sobre esse objeto inválido, corrompendo memória de forma que permite desvio de fluxo de execução e execução de código arbitrário no contexto do usuário que abriu o arquivo.

A MS09-009 trata essa falha junto com outra vulnerabilidade de Excel na mesma atualização, porque as correções tocam arquivos relacionados do parser. Não há detalhamento público de qual estrutura/registro específico do BIFF está envolvido — a Microsoft não publicou esse nível de detalhe, e não localizamos análise de terceiros que o tenha feito de forma verificável.

O vetor é um documento Excel malicioso entregue por e-mail (anexo) ou hospedado para download — abordagem clássica de spear-phishing observada nos ataques de fevereiro de 2009 associados ao Mdropper.AC. A pré-condição central é interação do usuário: a vítima precisa abrir o arquivo. Em Excel 2002 e versões posteriores existe um diálogo de Abrir/Salvar/Cancelar antes da abertura efetiva, o que exige uma segunda ação do usuário e reduz a probabilidade de exploração bem-sucedida sem interação adicional — é por isso que a Microsoft classificou o boletim como 'Important' para essas versões e apenas 'Crítico' para Excel 2000, que não tem esse prompt.

Não há requisito de autenticação de rede nem de configuração não padrão: qualquer instalação afetada que abra o arquivo malformado está exposta, contanto que o usuário execute a ação de abertura. O ataque foi confirmado em exploração ativa antes da disponibilidade de patch (0-day), o que justifica a entrada no catálogo KEV da CISA.

Após exploração bem-sucedida, o atacante obtém execução de código no contexto do usuário logado — controle completo do sistema se o usuário operar com privilégios administrativos, ou impacto reduzido se operar com privilégios limitados, conforme o próprio boletim da Microsoft observa.

A correção definitiva é aplicar a atualização de segurança MS09-009 (KB968557), publicada em 14 de abril de 2009. Para Excel 2007 SP1, é necessário instalar tanto a atualização do próprio Excel (KB959997) quanto a atualização do Compatibility Pack SP1 (KB960003) — instalar apenas uma delas não fecha a falha completamente nesse cenário.

Antes do patch, a Microsoft publicou o Security Advisory 968272 com orientações de mitigação temporária, referenciadas no boletim oficial; a essência recomendada nesse tipo de advisory de Excel da época era bloquear a abertura de arquivos no formato binário legado (.xls) de origens não confiáveis via política de bloqueio de arquivos do Office (File Block), ou usar Office File Validation quando disponível para essa versão — ambos reduzem funcionalidade (usuários deixam de abrir .xls antigos sem exceção manual) e não substituem o patch.

Atualizar apenas o Windows ou depender de antivírus como controle único não é mitigação equivalente: a exploração ocorre dentro do parser do Excel, então a correção precisa estar no próprio Office/Excel Viewer/Compatibility Pack, não em componentes de sistema operacional.

Não há assinatura pública detalhada do payload malformado específico usado nos ataques de fevereiro de 2009 nas fontes disponíveis. O indicador histórico mais citado é a detecção do trojan Trojan.Mdropper.AC por soluções antivírus da época ao abrir o anexo Excel malicioso — isso serve como indício retrospectivo, não como assinatura de rede confiável. Em ambientes atuais, a exposição prática já é nula (falha de 2009 com patch disponível há mais de uma década); o valor de detecção aqui é sobretudo histórico/forense, para investigação de incidentes antigos ou sistemas legados não corrigidos.