CVE-2010-3333

Falha de stack buffer overflow no parser de RTF do Microsoft Office, explorável ao abrir ou apenas pré-visualizar um e-mail/documento RTF malicioso, permitindo execução de código arbitrário com os privilégios do usuário. É crítica porque não exige nada além de interação mínima do usuário (abrir ou visualizar o arquivo) e atinge praticamente toda a linha Office da época, incluindo Mac; está confirmada como explorada ativamente e tem PoC público com bypass de DEP/ASLR.

A vulnerabilidade (CWE-119, escrita fora dos limites de um buffer) está no componente que o Office usa para interpretar dados RTF (Rich Text Format). Ao processar um arquivo RTF malformado, o parser copia dados controlados pelo atacante para um buffer alocado na pilha sem validar corretamente seu tamanho, corrompendo o quadro de pilha e permitindo redirecionamento do fluxo de execução. A Microsoft não detalhou publicamente qual token ou estrutura RTF específica dispara o overflow — o bulletin oficial (MS10-087) só descreve o efeito ('parses files') e a correção como mudança na forma como o Office analisa arquivos.

O atacante controla o conteúdo do arquivo RTF entregue à vítima (corpo de e-mail em formato RTF, ou um .rtf/.doc anexado). Como o Outlook usa o mecanismo de renderização do Word para exibir e-mails em RTF, o vetor de entrega mais citado pela própria Microsoft é o e-mail que é aberto ou apenas pré-visualizado no painel de leitura — não é necessário salvar ou abrir explicitamente um anexo.

Um PoC público documentado (2011) demonstra exploração completa em Office 2010 (build 14.0.4734.1000) usando uma cadeia ROP para contornar DEP/ASLR: a cadeia chama HeapCreate() para obter uma região de memória executável (RWX), copia o shellcode da pilha para essa região e transfere o controle para ele. Isso mostra que a exploração, embora tecnicamente sofisticada (é preciso montar a ROP chain e lidar com timing de carregamento de DLLs como msgr3en.dll), era viável de forma confiável contra as mitigações de memória da época.

O vetor primário é um documento ou e-mail em RTF malicioso entregue por e-mail (phishing) ou por qualquer canal que resulte na abertura do arquivo no Word ou em qualquer aplicação que use o motor de renderização RTF do Office. A Microsoft afirma explicitamente que basta o usuário abrir ou pré-visualizar a mensagem — não é necessário clique duplo em anexo nem confirmação adicional. Não há exigência de autenticação prévia no sistema (PR:N) nem de configuração não padrão; a única pré-condição real é a interação do usuário (UI:R) abrindo/visualizando o conteúdo.

O CVSS 3.1 divulgado usa AV:L (vetor local), o que reflete a convenção de que a exploração final ocorre no contexto local do processo do Office no momento em que o usuário abre o arquivo — não que o atacante precise de acesso físico ou de rede interna à máquina; a entrega ainda é remota (e-mail, download, compartilhamento de arquivo).

Há exploração ativa confirmada (presença no catálogo KEV da CISA) e existe módulo Metasploit e PoC público completo, incluindo cadeia de bypass de DEP/ASLR, o que reduz a barreira técnica para reprodução do ataque por terceiros muito além do grupo original que a explorou.

A correção definitiva é aplicar o update de segurança correspondente do MS10-087: KB2289169 (Office XP SP3), KB2289187 (Office 2003 SP3), KB2289158 (Office 2007 SP2), KB2289161 (Office 2010, 32 e 64 bits), KB2476512 (Office 2008 for Mac), KB2454823 (Office for Mac 2011) e KB2476511 (Open XML File Format Converter for Mac). Para Office 2004 for Mac, a correção (KB2505924) só ficou disponível em abril de 2011, distribuída junto aos bulletins MS11-021/022/023 — instalar qualquer um deles cobre também esta CVE.

Como paliativo quando o patch não pode ser aplicado imediatamente: bloquear ou filtrar anexos e corpos de e-mail em RTF no gateway de e-mail, desabilitar o painel de pré-visualização do Outlook (elimina o vetor de 'abrir sem abrir' citado pela Microsoft) e usar políticas de bloqueio de tipo de arquivo do Office (File Block) para impedir a abertura de RTF por versões vulneráveis. Nenhuma dessas medidas substitui o patch — são redutores de superfície temporários.

O que não funciona como mitigação real: manter apenas antivírus com assinatura genérica não é confiável, dado que o PoC documentado já demonstra bypass de DEP/ASLR via ROP — controles de mitigação de exploração da época (como toolkits de hardening de memória então disponíveis) reduziam a probabilidade de sucesso, mas não eliminavam o vetor, já que a falha em si permanece até a correção do parser.

Não há assinatura de rede ou de log genérica confiável documentada nas fontes disponíveis para esta CVE especificamente — a detecção prática da época dependia de mecanismos de inspeção de conteúdo em gateways de e-mail e antivírus capazes de identificar arquivos RTF malformados ou payloads shellcode embutidos, e de EDR/monitoramento de comportamento anômalo do processo do Office (alocação de memória executável, cadeias de chamadas incomuns) no momento da abertura do arquivo. Ambientes que ainda operam versões não corrigidas destes Office devem tratar qualquer e-mail ou arquivo RTF de origem não confiável como indicador de risco, já que não existe padrão de tráfego de rede específico a ser buscado.