CVE-2010-0249

Use-after-free no mecanismo de renderização HTML do Internet Explorer (6, 6 SP1, 7 e 8) que permite execução remota de código quando a vítima abre uma página HTML ou documento do Office malicioso. É a falha usada na Operação Aurora (dez/2009-jan/2010), campanha de espionagem contra Google e outras dezenas de empresas — por isso importa mais pela história e pela exploração ativa confirmada do que pelo CVSS isolado.

A falha é um use-after-free (CWE-416): o IE acessa um ponteiro associado a um objeto que já foi liberado da memória, resultado de inicialização incorreta e tratamento impróprio de objetos HTML. O parser/engine de renderização mantém uma referência a um objeto (tipicamente disparado por manipulação de elementos via script) cujo ciclo de vida não é sincronizado corretamente com o garbage collector do DOM — quando o objeto é destruído mas o ponteiro permanece acessível, o atacante que controla o conteúdo da página pode forçar realocação de memória nesse espaço com dados próprios antes do ponteiro pendente ser usado novamente.

O CVE é descrito oficialmente pela Microsoft como 'HTML Object Memory Corruption Vulnerability' e faz parte do conjunto de correções da MS10-002, que trata sete vulnerabilidades reportadas em privado mais esta, divulgada publicamente e já sob exploração ativa. A superfície de ataque é qualquer conteúdo processado pelo motor HTML do IE, incluindo documentos do Microsoft Office que embutem controles ActiveX que invocam o mesmo mecanismo de renderização — por isso o vetor não se limita a navegação web direta.

Atacante controla o conteúdo HTML/script servido à vítima; não há necessidade de autenticação no alvo, mas há necessidade de interação do usuário (abrir a página ou o documento), refletida no UI:R do vetor CVSS.

O vetor primário observado na Operação Aurora foi engenharia social: e-mails de spear-phishing com links para páginas comprometidas ou hospedadas pelo atacante, que serviam o HTML malicioso ao IE da vítima. Não é necessário acesso prévio à rede da vítima nem autenticação — é um ataque remoto clássico contra cliente, dependente apenas de o usuário clicar no link ou abrir o documento malicioso com IE6 (o alvo mais confiável) instalado.

A campanha, documentada por Google, McAfee, Adobe e outras empresas afetadas, buscava roubo de propriedade intelectual (incluindo código-fonte do Google) e acesso a contas de Gmail de ativistas de direitos humanos; a atribuição divulgada na época apontava para atores ligados à China, embora essa atribuição tenha sido tratada pela imprensa e pelos próprios pesquisadores como acusação, não prova técnica formal no advisory da Microsoft. A exploração confiável era mais fácil em IE6 sem DEP habilitado; em IE7/IE8 com DEP ativo (não padrão em todas as configurações da época) a exploração era mais difícil, mas a Microsoft não tratou DEP como mitigação completa.

Existem módulo Metasploit e PoC públicos, o que barateou a reprodução do ataque fora do contexto original da Aurora. O resultado final da exploração bem-sucedida é execução de código arbitrário no contexto do usuário logado — download e execução do backdoor associado à campanha (conhecido como Hydraq/Aurora) foi o desfecho documentado nos incidentes reais.

A correção definitiva é aplicar a MS10-002 (KB978207), atualização cumulativa do IE que resolve esta falha e outras sete reportadas em privado. A Microsoft também publicou a KB979352 como advisory específico desta vulnerabilidade antes do boletim cumulativo.

Se a atualização não puder ser aplicada imediatamente, os paliativos publicados pela Microsoft/CERT são: habilitar DEP no IE6 e IE7 (não elimina a falha, apenas dificulta a exploração de corrupção de memória); configurar a zona da Internet como 'Alta', o que força prompt antes de executar ActiveX e Active Scripting; desabilitar Active Scripting; e desabilitar controles ActiveX no Microsoft Office, já que documentos Office com ActiveX embutido são vetor alternativo. Nenhum desses paliativos remove a vulnerabilidade — apenas reduz a probabilidade de exploração bem-sucedida ou a superfície de ataque, com custo real de usabilidade (prompts constantes, scripts legítimos quebrados).

O mito a evitar: assumir que trocar de IE6 para IE7/IE8 resolve o problema — a falha afeta as quatro versões listadas; a mitigação real é o patch, não a troca de versão do navegador dentro da linha vulnerável. Diversos órgãos governamentais, na época, recomendaram abandonar IE6 por completo dado o histórico de exploração ativa contra essa versão específica.

Não há assinatura de rede ou de log publicamente detalhada nas fontes oficiais para esta CVE específica; a exploração ocorre no lado cliente via conteúdo HTML/script malicioso renderizado pelo IE, o que dificulta detecção baseada só em padrão de tráfego. Sinais indiretos documentados no contexto da Operação Aurora incluem: e-mails de phishing direcionado com links para domínios de hospedagem do exploit, crashes ou comportamento anômalo do processo iexplore.exe, e presença de tráfego de saída para infraestrutura de comando e controle associada ao malware baixado após exploração bem-sucedida (Hydraq). Ambientes que ainda rodam IE6/7/8 sem o patch da MS10-002 devem tratar qualquer comportamento pós-exploração (processos filhos inesperados de iexplore.exe, conexões de saída incomuns) como indicador prioritário, já que módulo Metasploit e PoC público tornam viável testar a exposição em laboratório controlado.