CVE-2009-1537

Falha de corrupção de memória no parser de arquivos QuickTime (Movie Parser Filter) implementado em quartz.dll, componente do DirectShow no Microsoft DirectX. Um arquivo de mídia QuickTime malformado, ao ser processado, permite execução de código arbitrário no contexto do usuário que abriu o arquivo. Importa porque foi explorada in the wild como 0-day em maio de 2009, semanas antes de existir correção oficial — e está no catálogo KEV da CISA por isso.

A falha está no filtro que o DirectShow usa para interpretar contêineres QuickTime (.mov e variantes) dentro de quartz.dll. Segundo a Microsoft, o parser falha em validar corretamente valores de ponteiro e campos de tamanho presentes na estrutura do arquivo QuickTime antes de usá-los em operações de cópia/gravação de memória. O nome popular da falha, 'DirectX NULL Byte Overwrite Vulnerability', indica que um campo controlado pelo atacante no arquivo permite escrever um byte nulo (ou dado atacante-controlado) fora dos limites esperados de um buffer ou estrutura interna, corrompendo memória adjacente — um padrão consistente com CWE-787 (Out-of-bounds Write) originado por falta de validação de tamanho/offset (relacionado a CWE-20).

O atacante controla o conteúdo de campos de metadados/atom dentro do arquivo QuickTime (tamanhos, offsets, ponteiros lógicos usados pelo parser). Ao manipular esses campos para valores fora do esperado, força o parser a calcular um endereço ou tamanho inválido e escrever nele, o que pode corromper ponteiros de função, vtables ou outras estruturas de controle de fluxo, abrindo caminho para execução de código.

A descrição oficial não detalha a estrutura exata do arquivo nem o campo específico manipulado — a Microsoft classificou como 'unspecified vulnerability' no advisory inicial (971778) e só descreveu o mecanismo em termos gerais no boletim MS09-028, publicado dois meses depois. Não há, nas fontes públicas disponíveis, um write-up técnico detalhado do offset exato ou da estrutura do atom QuickTime explorada.

O MS09-028 corrigiu essa vulnerabilidade junto com outras duas reportadas de forma privada no mesmo componente DirectShow, todas relacionadas à validação de parsing de arquivos QuickTime — o que sugere uma classe de bugs no mesmo filtro, não um único ponto isolado.

O vetor é a entrega de um arquivo de mídia QuickTime malformado ao usuário — por e-mail, download direto, ou hospedagem em página web que force a abertura/reprodução do arquivo via componente DirectShow do sistema (por exemplo, através de players ou embeds que usem o pipeline DirectShow). O CVSS reflete corretamente que é necessária interação do usuário (UI:R) para abrir o arquivo, e que não é exigida autenticação nem privilégio prévio (PR:N) — mas também não é 'zero-click': alguém precisa executar ou visualizar o arquivo.

A exploração documentada em maio de 2009 ocorreu antes de existir patch, num cenário clássico de 0-day: atacantes distribuíram arquivos QuickTime maliciosos e conseguiram execução de código com os mesmos privilégios do usuário que abriu o arquivo — sem privilégios administrativos, o impacto tende a ser mais restrito, mas ainda permite comprometimento inicial da máquina.

A presença no catálogo KEV da CISA confirma exploração ativa comprovada, não apenas risco teórico. O ISC (SANS Internet Storm Center) registrou o caso na época como parte da onda de exploração em maio de 2009, mas o conteúdo da diary específica não estava disponível para verificação de detalhes adicionais nesta pesquisa.

A correção definitiva é a instalação da atualização de segurança MS09-028 (KB971633), publicada pela Microsoft em 14 de julho de 2009, que corrige o parsing/validação de ponteiros e campos de tamanho em arquivos QuickTime no DirectShow. A atualização se aplica a todas as edições afetadas de DirectX 7.0 a 9.0c nos sistemas operacionais listados.

Antes da correção estar disponível, a Microsoft publicou no Security Advisory 971778 um paliativo temporário: desregistrar a quartz.dll (via regsvr32 /u) para desabilitar o filtro DirectShow vulnerável. O custo real desse workaround é perda de funcionalidade — qualquer aplicação que dependa do DirectShow para reprodução de mídia (não só QuickTime) para de funcionar corretamente até o componente ser reregistrado após a correção. Não é uma mitigação de baixo impacto operacional.

Não há mitigação eficaz por meio de extensão de arquivo ou bloqueio de assinatura de e-mail isoladamente, já que o vetor depende do conteúdo interno do arquivo, não da extensão. Sistemas Windows Vista, Windows Server 2008 e versões posteriores não são afetados, segundo a própria tabela de software afetado da Microsoft — não é necessário aplicar mitigação nesses SOs.

Não há, nas fontes consultadas, assinatura de rede ou indicador de comprometimento documentado publicamente com detalhes suficientes para detecção confiável baseada em tráfego. O sinal prático é a presença de arquivos QuickTime (.mov e formatos relacionados processados via DirectShow) recebidos por e-mail ou baixados de fontes não confiáveis por volta de maio de 2009, correlacionados com falhas ou comportamento anômalo em processos que usam DirectShow (explorer.exe, players de mídia, navegadores com plugins). Soluções antivírus da época passaram a detectar arquivos QuickTime malformados explorando essa falha, mas não há confirmação de nomes de assinatura nas fontes revisadas — vale verificar retenção de logs de AV/EDR da época se a investigação for retrospectiva.