CVE-2009-0556

Falha de corrupção de memória no parser de PowerPoint (registro OutlineTextRefAtom) que permite execução remota de código ao abrir um arquivo .ppt malicioso. Foi explorada como zero-day in the wild a partir de março/abril de 2009, antes de existir patch, o que a colocou no catálogo KEV da CISA. O CVSS 8.8 é coerente com o risco real: qualquer usuário que abra um arquivo do Office recebido por e-mail ou baixado da web está exposto, sem necessidade de configuração especial.

O defeito está no parser do formato binário .ppt (OLE/CFB), especificamente na leitura do registro OutlineTextRefAtom (tipo 3998). Esse registro contém um valor de índice usado para referenciar outra estrutura interna do arquivo (o texto de outline associado a um slide). O PowerPoint não valida se esse índice está dentro dos limites esperados antes de usá-lo para acessar memória, o que se encaixa no padrão de leitura/escrita fora dos limites (CWE-125/CWE-787) por falta de validação de entrada em campo controlado pelo atacante.

Como o atacante controla diretamente o valor do índice dentro do arquivo binário, ele consegue forçar o parser a referenciar uma posição de memória inválida ou fora da estrutura esperada, corrompendo dados adjacentes. Dependendo do layout de memória no momento do parsing, isso pode ser transformado em execução de código arbitrário sob o contexto do usuário que abriu o arquivo — não há elevação de privilégio automática, o impacto fica limitado às permissões da sessão do usuário.

A Microsoft, no Security Advisory 969136 (citado pelo CERT/CC), descreveu a causa da mesma forma: acesso a um 'objeto inválido em memória' durante o parsing de um arquivo PowerPoint especialmente criado. A ZDI (ZDI-09-019), que reportou a mesma falha de forma independente, confirma o mecanismo específico do índice inválido no OutlineTextRefAtom.

O vetor é puramente client-side: o atacante entrega um arquivo .ppt malicioso por e-mail (anexo) ou hospedado em site, e depende de o usuário abri-lo no PowerPoint vulnerável. Não há exploração remota sem interação — CVSS UI:R confirma isso. Um detalhe relevante mencionado pelo CERT/CC: filtrar por extensão de arquivo (.ppt, .pot, .pps) não é mitigação confiável, porque o Windows invoca o PowerPoint com base no cabeçalho interno do arquivo, não na extensão — um arquivo renomeado para .qwer com cabeçalho OLE válido ainda abre no PowerPoint.

A exploração foi observada in the wild antes da disponibilidade de patch, catalogada pela Microsoft como Exploit:Win32/Apptom.gen (referenciado no blog do MMPC de 2 de abril de 2009). Isso caracteriza um ataque direcionado (spear-phishing com anexo malicioso), padrão comum de campanhas de espionagem daquele período que usavam documentos Office como isca.

O resultado final, quando a exploração é bem-sucedida, é execução de código arbitrário com os privilégios do usuário que abriu o arquivo — tipicamente suficiente para instalar backdoor ou pivotar dentro do ambiente, especialmente se o usuário tiver privilégios administrativos locais.

A correção definitiva veio no boletim MS09-017, publicado pela Microsoft (maio de 2009), que atualiza PowerPoint 2000 SP3, 2002 SP3, 2003 SP3 e PowerPoint no Office 2004 for Mac. Aplicar essa atualização remove a falha de validação do índice.

Antes do patch estar disponível, o CERT/CC (VU#627331) recomendava como paliativo não abrir arquivos PowerPoint não confiáveis ou inesperados, principalmente vindos de e-mail ou hospedados em sites de terceiros. Esse paliativo tem custo operacional alto (bloqueia fluxo de trabalho legítimo) e depende inteiramente do comportamento do usuário, então não é substituto real de patch — funciona apenas como redução de exposição enquanto a atualização não é aplicada.

Não funciona como mitigação: filtrar por extensão de arquivo. Como o Windows abre o PowerPoint com base no cabeçalho binário do arquivo (formato OLE/CFB), um bloqueio de gateway de e-mail ou proxy baseado somente em extensão (.ppt, .pot, .pps) é contornável trivialmente renomeando o arquivo.

Como o vetor é um arquivo aberto localmente pelo usuário (client-side), não há assinatura confiável de tráfego de rede — o sinal relevante é o arquivo .ppt em si. No momento da divulgação, a exploração ativa foi detectada por mecanismos antivírus/antimalware sob a assinatura Exploit:Win32/Apptom.gen (Microsoft MMPC). Em ambientes corporativos, vale inspecionar gateways de e-mail e proxies por arquivos OLE/CFB com extensão .ppt/.pot/.pps (ou sem extensão, ou com extensão renomeada) vindos de remetentes não confiáveis, já que filtro por extensão isolado não bloqueia o ataque — é preciso inspeção de conteúdo/cabeçalho do arquivo.