CVE-2012-0754

Falha de corrupção de memória no Adobe Flash Player corrigida em fevereiro de 2012 (boletim APSB12-03), que permite execução de código arbitrário ou negação de serviço ao processar conteúdo SWF malicioso. Está no catálogo KEV da CISA por exploração confirmada, mas o vetor real exige que a vítima abra ou seja induzida a visitar uma página com o SWF malicioso — não é um RCE remoto sem interação, apesar de o registro no KEV sugerir isso à primeira vista.

A Adobe classificou a causa como corrupção de memória em 'vetores não especificados' dentro do próprio Flash Player — o boletim APSB12-03 não detalha o componente interno afetado (parser de tag SWF, ActionScript VM, ou manipulação de objetos). A CVE foi corrigida no mesmo pacote de atualização que resolveu outras quatro falhas de execução de código (CVE-2012-0752 a CVE-2012-0756) e uma falha de XSS universal (CVE-2012-0767), todas reportadas juntas no RHSA-2012-0144 da Red Hat.

O CWE típico para esse tipo de achado da era é corrupção de heap ou uso de memória inválida (CWE-787/CWE-416 dependendo do caso), mas a Adobe nunca publicou o detalhe técnico exato para esta CVE específica — não há writeup público dissecando a causa raiz.

Um ponto de discussão recente, levantado por analistas de vulnerability enrichment da própria CISA (issue #196 do projeto vulnrichment), é que o vetor CVSS atribuído a esta CVE já reflete corretamente a necessidade de interação do usuário (UI:R) e escopo local (AV:L) — diferente de outras CVEs de Flash da mesma leva do KEV que estavam classificadas erroneamente como exploráveis sem interação (UI:N). Isso reforça que o atacante não controla remotamente a vítima; ele controla o conteúdo do arquivo SWF que a vítima precisa abrir.

O vetor de exploração é a entrega de um arquivo SWF malicioso — hospedado em página web comprometida ou maliciosa, embutido em documento, ou distribuído por outro meio que force o Flash Player a processá-lo. A vítima precisa navegar até o conteúdo ou abri-lo (UI:R), e a execução ocorre no contexto local do processo do plugin (AV:L), não via rede diretamente.

A existência de módulo Metasploit e PoC pública, somada à confirmação de exploração ativa no catálogo KEV da CISA, indica que a falha foi usada em campanhas reais de 2012, período em que exploit kits de navegador miravam pesadamente o Flash Player desatualizado como vetor de entrada inicial (drive-by download). Não há, nas fontes disponíveis, detalhamento de qual grupo ou campanha específica a explorou, nem do payload utilizado.

O impacto final documentado pelo fornecedor é execução de código arbitrário no contexto do usuário que executa o navegador/plugin, ou travamento do processo (DoS). Não há indicação de escalonamento de privilégio adicional documentado para esta CVE específica — o comprometimento fica limitado ao contexto do plugin, a menos que combinado com outra falha de sandbox escape.

A correção do fornecedor é a atualização para Flash Player 10.3.183.15 ou 11.1.102.62 (Windows, Mac OS X, Linux, Solaris), 11.1.111.6 (Android 2.x/3.x) ou 11.1.115.6 (Android 4.x), conforme o boletim APSB12-03. Distribuições Linux empacotaram o mesmo binário via seus canais — Red Hat via RHSA-2012-0144, openSUSE e Gentoo via seus próprios advisories (GLSA-201204-07), todos apontando para a mesma versão 10.3.183.15 do pacote flash-plugin.

Como paliativo real quando a atualização não é imediata: desabilitar ou desinstalar o plugin Flash no navegador, ou usar recursos de click-to-play (execução de plugin somente sob confirmação explícita do usuário) disponíveis em navegadores da época — isso neutraliza o vetor porque elimina a execução automática do SWF. Bloquear conteúdo SWF por proxy/gateway de conteúdo também reduz a superfície, mas não é substituto de patch.

Não funciona como mitigação: confiar apenas em antivírus de endpoint para bloquear o SWF malicioso — a era desses exploits kits mostrou alta taxa de evasão de assinatura. Também não ajuda restringir apenas por reputação de domínio, já que sites legítimos comprometidos (malvertising) foram vetor comum de entrega de SWF malicioso nessa geração de ataques. Dado que o Flash Player está descontinuado desde 2020 e não recebe mais atualizações de nenhum fornecedor, a mitigação definitiva hoje é a remoção completa do componente de qualquer ambiente ainda em produção.

Nenhuma das fontes disponíveis descreve assinatura, IOC ou padrão de tráfego específico associado à exploração desta CVE — a Adobe não detalhou o mecanismo interno da corrupção de memória, e não há writeup técnico público dissecando o SWF de exploração. Na prática, a detecção de exploração de Flash dessa era dependia de telemetria de crash do processo do plugin (relatórios de falha correlacionados a visitas a páginas suspeitas) e de análise de arquivos SWF entregues por proxy/gateway, não de assinatura específica desta CVE.