CVE-2010-3962

Vulnerabilidade de use-after-free no mecanismo de parsing de CSS do Internet Explorer 6, 7 e 8, explorada ativamente em ataques direcionados (in the wild) já em novembro de 2010, antes da correção oficial. Basta a vítima visitar uma página HTML maliciosa (ou abrir um e-mail/anexo HTML) no IE vulnerável para permitir execução remota de código com os privilégios do usuário — não há necessidade de autenticação ou configuração especial, o que torna o CVSS alto coerente com o risco real.

A falha, batizada pela Microsoft de 'invalid flag reference' (também descrita como 'Uninitialized Memory Corruption Vulnerability'), ocorre porque o IE sub-aloca memória ao processar certas combinações de tags/tokens CSS durante o parsing de HTML, incluindo cenários envolvendo o atributo 'clip'. O resultado é a sobrescrita do byte menos significativo de um vtable pointer de um objeto. Em termos de CWE, trata-se de um use-after-free (CWE-416): uma referência a um objeto CSS continua acessível depois que o objeto já foi liberado (deletado) da memória.

O atacante controla o conteúdo da página HTML/CSS servida à vítima — a sequência específica de tokens CSS e a manipulação do atributo 'clip' que dispara a alocação incorreta. Ao forçar o navegador a reutilizar a região de memória liberada com dados controlados pelo atacante, e em seguida invocar um método através do vtable corrompido, é possível desviar o fluxo de execução.

O vetor CVSS informado (AC:H) reflete a dificuldade de construir de forma confiável um exploit que produza um layout de heap explorável — historicamente esse tipo de use-after-free em IE exigia técnicas de heap grooming para tornar a exploração determinística, o que eleva a complexidade de ataque mesmo sem exigir privilégios ou autenticação.

O vetor primário é a Web: o atacante hospeda ou injeta em uma página (ou em um e-mail HTML) o CSS malicioso e induz a vítima a abri-lo no Internet Explorer 6, 7 ou 8. Não há pré-requisito de autenticação, rede interna ou configuração não padrão — qualquer usuário navegando com um desses IEs está exposto, o único pré-requisito real é interação do usuário (visitar a página ou abrir o conteúdo), o que a descrição oficial resume como vetor 'remote'.

A Microsoft confirmou exploração ativa em novembro de 2010, atribuída pela Symantec, antes da disponibilização do patch definitivo — foi tratada inicialmente como 0-day via a Advisory 2458511. Existem provas de conceito públicas (Exploit-DB 15418 e 15421) e módulo Metasploit, o que reduz a barreira para reprodução do ataque hoje, embora o valor prático contra sistemas atuais seja nulo dado que IE6/7/8 estão fora de suporte há anos.

O resultado final da exploração bem-sucedida é execução arbitrária de código no contexto do usuário que executa o IE — se a vítima operar com privilégios administrativos, o impacto é comprometimento total da máquina; contas com privilégios reduzidos limitam (mas não eliminam) o dano.

A correção definitiva veio pelo boletim MS10-090 (KB2416400), publicado em 14 de dezembro de 2010, uma atualização cumulativa para o Internet Explorer que endereça a falha originalmente descrita na Advisory 2458511 junto com outras vulnerabilidades de memória do navegador. É classificada como Crítica para IE 6, 7 e 8 em todas as versões de Windows suportadas na época (XP SP3, XP x64 SP2, Server 2003 SP2/x64/Itanium, Vista SP1/SP2 e x64, Server 2008 e R2, Windows 7).

Antes do patch estar disponível, a Microsoft publicou workarounds na Advisory 2458511, incluindo mitigação via DEP/EMET, que reduziam mas não eliminavam a explorabilidade — eram medidas paliativas para o período de exposição de 0-day, não substitutos do patch.

Hoje a mitigação prática é irrelevante como 'correção de configuração': IE6, 7 e 8 estão descontinuados e sem suporte de segurança há anos. O controle real é não haver mais nenhum desses navegadores em uso — qualquer ambiente que ainda dependa de IE6/7/8 para aplicações legadas deve isolar essas máquinas de rede/Internet geral e migrar a aplicação legada, pois não existe mitigação de rede (WAF, IPS) capaz de neutralizar de forma confiável a exploração client-side de parsing de CSS.

As fontes consultadas não trazem uma assinatura de rede ou de log específica e confiável para detecção de exploração desta falha — o CERT/CC e a Microsoft apontam apenas para a existência de exploit público e para a mitigação via patch/DEP/EMET, sem IOCs publicados. Na prática, o que se pode inspecionar é conteúdo HTML/CSS anômalo contendo sequências de tokens CSS incomuns combinadas com manipulação do atributo 'clip' em requisições servidas a clientes IE6/7/8, mas não há padrão documentado publicamente que sirva de assinatura confiável; a ausência de suporte a esses navegadores torna a detecção retroativa de baixo valor operacional hoje.