CVE-2014-0322
Corrija agora. Ela está sob exploração confirmada pelo CISA, tem exploit funcional público e 1 grupo(s) de ameaça a utilizam.
Grupos conhecidos por explorar esta vulnerabilidade (atribuição MITRE ATT&CK).
Apply updates per vendor instructions.
Resumo
Falha use-after-free no componente CMarkup do MSHTML (motor de renderização do Internet Explorer), causada por código JavaScript malicioso que abusa do atributo onpropertychange de um elemento script. Foi usada como zero-day em ataques direcionados (watering hole) contra alvos aeroespaciais e de defesa entre janeiro e fevereiro de 2014, antes de qualquer patch existir, o que a coloca no catálogo KEV da CISA. O impacto real ficou concentrado: o exploit observado in-the-wild só funcionava contra IE10 com Adobe Flash instalado e sem o EMET presente.
Detalhamento técnico
A vulnerabilidade (CWE-416, use-after-free) está no objeto CMarkup do MSHTML, a biblioteca de renderização de HTML/DOM do Internet Explorer. JavaScript malicioso manipula o atributo onpropertychange de um elemento de forma a forçar a liberação (free) de um objeto CMarkup enquanto ainda existem referências ativas a ele. Uma referência subsequente a esse objeto já liberado corrompe o heap e dá ao atacante controle sobre dados que o motor de renderização interpreta como ponteiros ou estruturas de objeto, abrindo caminho para execução de código arbitrário.
O atacante controla o conteúdo JavaScript da página e o timing das mudanças de propriedade que disparam o gatilho do use-after-free — não há necessidade de bypass de sandbox adicional além do que a cadeia de exploração completa (descrita abaixo) exige. A CERT/CC confirmou a falha no IE10 e recebeu relatos de que o IE9 também é afetado; a descrição oficial da CVE cita ambas as versões.
O patch da Microsoft (MS14-012) corrige o problema alterando a forma como o Internet Explorer gerencia objetos em memória — não há detalhe público mais granular do fornecedor sobre o fix específico dentro do código do CMarkup.
Como é explorada
O vetor é clássico de drive-by: a vítima precisa visitar uma página HTML manipulada (ou abrir um e-mail/anexo HTML) — há interação do usuário (UI:R no vetor CVSS), mas nenhuma autenticação é necessária. A campanha documentada por FireEye ("Operation SnowMan", ligada ao ator DeputyDog) comprometeu o site da Veterans of Foreign Wars dos EUA; a Websense e a Seculert relataram uma campanha paralela mirando uma organização aeroespacial francesa e usuários remotos de uma empresa do setor aeroespacial.
A cadeia de exploração observada in-the-wild depende de Adobe Flash instalado no navegador: como o Flash roda no mesmo espaço de processo do IE, o exploit usa a corrupção de memória do CMarkup para vazar um endereço a partir de conteúdo Flash corrompido, contornando ASLR. Com o endereço vazado, desabilita DEP e então executa código. O exploit também usa o controle ActiveX Microsoft.XMLDOM para checar a presença de C:\Windows\AppPatch\EMET.dll; se o EMET estiver instalado, o ataque é abortado — ou seja, o EMET funcionava como mitigação efetiva contra essa amostra específica. O exploit público conhecido não afeta o IE11.
Há exploit público (Exploit-DB 32851 e 32904) e módulo Metasploit, o que reduz a barreira de reprodução para quem já não dependia da campanha original. Como a falha está na base do CVSS 3.1 com AC:L e sem privilégios, qualquer ambiente com IE9/IE10 e Flash sem patch permanece tecnicamente explorável hoje, embora o valor prático de um zero-day de 2014 sem alvo específico seja baixo — a menos que o sistema esteja isolado do ciclo normal de atualizações (o que justifica a entrada na KEV mesmo anos depois).
Versões
Como se proteger
A correção definitiva é o boletim MS14-012 (KB2925418), lançado em 11 de março de 2014 como atualização cumulativa para o Internet Explorer, cobrindo IE6 a IE11 nas plataformas Windows afetadas. Antes disso, a Microsoft publicou um utilitário Fix it via Security Advisory 2934088 (19 de fevereiro de 2014) como paliativo temporário até o patch oficial.
Se a atualização não puder ser aplicada imediatamente, o EMET (Enhanced Mitigation Experience Toolkit) da Microsoft bloqueava efetivamente a amostra observada em campanhas reais, já que o próprio exploit verificava a presença do EMET.dll e abortava a execução — isso não é garantia contra variantes futuras, mas era o controle compensatório real documentado pela CERT/CC. Em plataformas sem suporte a ASLR (Windows XP, Windows Server 2003), o EMET oferece proteção reduzida.
Migrar para o Internet Explorer 11 também neutralizava o exploit público conhecido, segundo a CERT/CC — mas isso não significa que o IE11 seja imune à classe de vulnerabilidade, apenas que aquele exploit específico não funcionava nele. Remover ou desativar o Adobe Flash do navegador quebra a etapa de bypass de ASLR usada na cadeia observada, reduzindo a exploração prática mesmo sem patch, embora a falha de memória em si no CMarkup permaneça presente. Dado que o software está fora do ciclo de vida suportado há anos, o caminho real de mitigação hoje é não operar mais IE9/IE10 sem a atualização MS14-012 aplicada, ou remover o produto do ambiente.
Como detectar
Não há assinatura de rede pública detalhada nas fontes consultadas. Sinais reportados nas campanhas reais incluem: páginas HTML servidas via watering hole em sites comprometidos (ex.: site da VFW e domínios ligados a organizações aeroespaciais); uso do controle ActiveX Microsoft.XMLDOM para checar a existência do arquivo C:\Windows\AppPatch\EMET.dll no sistema da vítima (indicador de que o exploit está sondando defesas antes de disparar); e conteúdo Flash embutido na página usado para vazamento de endereço de memória, sem exploração direta de vulnerabilidade no próprio Flash. Parceiros do programa MAPP da Microsoft receberam indicadores antecipados para atualizar produtos de segurança (antivírus, IDS/IPS), mas os detalhes de assinatura não são públicos nas fontes disponíveis.