CVE-2010-2572

Buffer overflow na rotina de parsing de documentos PowerPoint 95 (formato binário legado) no Microsoft PowerPoint 2002 SP3 e 2003 SP3, que permite execução de código arbitrário quando a vítima abre um arquivo .ppt malicioso. A CISA incluiu a falha no catálogo KEV em 2022, confirmando exploração real, mas o universo de sistemas vulneráveis hoje é pequeno: exige versões de Office fora de suporte há mais de uma década.

A falha está no código que interpreta o formato binário do PowerPoint 95, um formato de arquivo legado ainda suportado por compatibilidade em versões posteriores do PowerPoint. Ao processar um registro malformado dentro desse formato, o parser escreve dados além dos limites de um buffer alocado na memória — um caso clássico de CWE-119 (restrição inadequada de operações dentro dos limites de um buffer de memória), conforme classificado pela própria CISA no KEV.

O atacante controla integralmente a estrutura do arquivo .ppt malicioso: campos, tamanhos e conteúdo dos registros internos do formato binário. Como o formato PowerPoint 95 é anterior ao Open XML e usa uma estrutura de container OLE Compound File com registros de tamanho variável, um campo de tamanho ou offset manipulado é o vetor mais provável para corromper a memória e desviar o fluxo de execução — os detalhes exatos de qual registro e qual campo não foram divulgados publicamente pela Microsoft.

O boletim MS10-088 trata essa CVE junto com CVE-2010-2573 na mesma atualização, porque as correções tocam arquivos relacionados no parser do PowerPoint. Vale notar que quem usa PowerPoint 2002 ou 2003 também precisou instalar o MS10-087 para estar protegido contra CVE-2010-2573 — os dois boletins se complementam nesses ramos.

O vetor é um documento .ppt no formato PowerPoint 95 enviado à vítima — tipicamente por e-mail ou download — que ela precisa abrir manualmente (UI:R no vetor CVSS). Não há necessidade de autenticação prévia nem de configuração não padrão: o único pré-requisito real é ter uma versão vulnerável do PowerPoint instalada e o usuário executar a ação de abrir o arquivo. Ao abrir, o parser processa a estrutura malformada e o overflow permite execução de código com os privilégios do usuário que abriu o documento.

A classificação CVSS 3.1 usa AV:L (vetor local) porque o NVD trata falhas de parsing de arquivo como "ataque local" no modelo formal — mas na prática a entrega é remota, via engenharia social com anexo ou link.

A presença no catálogo KEV da CISA (adicionada em 2022-06-08) confirma exploração documentada em algum momento, mas a CISA não detalha campanha, ator ou uso em ransomware (marcado como "Unknown" nessa dimensão). O padrão histórico para essa classe de vulnerabilidade em 2010-2011 foi phishing direcionado com anexos Office malformados, mirando ambientes corporativos que ainda rodavam PowerPoint 2002/2003. Hoje o risco relevante é reaparecer em ambientes legados esquecidos ou máquinas com Office desatualizado por dependência de compatibilidade.

A correção oficial é o boletim MS10-088: KB2413272 para PowerPoint 2002 SP3, KB2413304 para PowerPoint 2003 SP3, KB2413381 para PowerPoint Viewer 2007 SP2, e KB2505924 para Office 2004 para Mac (disponibilizado posteriormente, em abril de 2011, via MS11-021/022/023). Quem usa PowerPoint 2002 ou 2003 também deve aplicar o MS10-087 para ficar protegido contra a vulnerabilidade correlata CVE-2010-2573 tratada no mesmo ciclo.

PowerPoint 2007 SP2 e PowerPoint 2010 (32 e 64 bits) não são afetados pela CVE-2010-2572 segundo a Microsoft — só o PowerPoint Viewer 2007 SP2 embutido é vulnerável e precisa do patch mesmo em máquinas com PowerPoint 2007 instalado.

Como essas versões estão fora do ciclo de suporte há muito tempo, o caminho real de mitigação para ambientes que ainda dependem delas é migrar para uma versão suportada do Office; não existe patch novo sendo produzido para esses ramos. Como paliativo em ambientes que não podem migrar imediatamente, bloquear o recebimento e a abertura de arquivos no formato binário .ppt (PowerPoint 95/97-2003) em gateways de e-mail reduz a superfície, mas não é substituto da atualização.

Não há assinatura pública ou indicador de comprometimento detalhado nas fontes oficiais para esta CVE especificamente. Em termos gerais, sinais a observar incluem crashes ou comportamento anômalo do processo POWERPNT.EXE imediatamente após a abertura de um arquivo .ppt no formato binário legado (PowerPoint 95/97-2003), execução de processos filhos inesperados a partir do PowerPoint, e recebimento de anexos .ppt (não .pptx) em contextos de phishing — o uso do formato binário antigo em vez do Open XML moderno é, por si, um sinal de suspeita quando não há justificativa de negócio para isso.