CVE-2014-0497

Integer underflow no Adobe Flash Player permite execução remota de código quando a vítima carrega conteúdo SWF malicioso em uma página web. A falha afeta todas as plataformas suportadas na época (Windows, Mac OS X e Linux) e está no catálogo KEV da CISA com exploração confirmada, além de possuir módulo Metasploit e PoC pública — o que a torna praticamente trivial de operacionalizar mesmo hoje contra sistemas legados que ainda rodem Flash.

A falha é um integer underflow (CWE-191) no runtime do Flash Player, disparado por vetores não especificados pela Adobe no advisory oficial (APSB14-04). Um contador ou índice interno, ao ser decrementado além do limite mínimo esperado, sofre wraparound e assume um valor extremamente grande (já que a subtração é feita sobre um tipo sem sinal ou sem checagem de limite inferior), o que é depois usado para calcular um offset de leitura/escrita em memória.

O resultado prático é corrupção de heap: o valor subestimado corrompe o cálculo de tamanho ou posição de um buffer, permitindo que dados controlados pelo atacante — embutidos no arquivo SWF — sejam escritos fora dos limites alocados. Esse tipo de primitiva de corrupção de memória, quando encadeado com técnicas de heap grooming (comuns em exploits de Flash da época), vira execução de código arbitrário no contexto do processo do plugin, que geralmente herda os privilégios do navegador/usuário logado.

A Adobe não divulgou detalhes de código, arquivo ou função afetada — a descrição é genérica ('unspecified vectors'), típico do padrão de disclosure da empresa para vulnerabilidades de Flash daquele período. Não há CVE relacionada com análise binária pública detalhada nas fontes consultadas; o RHSA-2014-0137 confirma apenas que conteúdo SWF especialmente manipulado pode causar crash ou execução de código.

O vetor de entrega é conteúdo SWF malicioso embutido em uma página web ou documento que a vítima abre — exige interação do usuário (visitar a página, UI:R no vetor CVSS), mas não exige autenticação nem configuração não padrão. Não há pré-condição de rede especial: qualquer navegador com o plugin Flash vulnerável habilitado, incluindo o Flash embutido em navegadores como o Chrome da época, está exposto.

A complexidade de exploração historicamente associada a bugs desse tipo em Flash é moderada: corrupção de heap exige technique de heap grooming para transformar a escrita fora de limites em controle de fluxo de execução, mas isso já era rotina em kits de exploração e frameworks como o Metasploit no momento da divulgação — daí a existência de módulo público e PoC.

A presença no catálogo KEV da CISA confirma exploração ativa em campanhas reais, tipicamente via páginas comprometidas (watering hole) ou anúncios maliciosos servindo o SWF de exploração, sem que a vítima precise fazer mais do que abrir a página no navegador com Flash desatualizado.

A correção definitiva é atualizar o Adobe Flash Player para 11.7.700.261 ou superior (ramo 11.7.x), ou 12.0.0.44 ou superior (ramo 11.8.x–12.0.x) em Windows e Mac OS X, e para 11.2.202.336 ou superior em Linux. Distribuições que empacotam o plugin, como o RHEL, publicaram o pacote flash-plugin-11.2.202.336 via RHSA-2014-0137; o Chrome também recebeu a correção embutida via atualização 32.0.1700.107, já que o navegador distribui sua própria cópia do Flash.

Como Flash Player está fora de suporte desde o fim de 2020 e removido dos navegadores modernos, o paliativo mais efetivo em 2024+ é simplesmente não ter o plugin instalado — não existe mitigação por configuração que reduza esse risco em uma instalação vulnerável e ativa. Desativar o Flash no navegador (quando ainda presente por herança de sistemas legados) elimina o vetor de execução do SWF, mas não corrige o binário em si.

O que não funciona: confiar em sandboxing do navegador como mitigação suficiente — bugs de corrupção de memória em plugins como o Flash frequentemente foram encadeados com escapes de sandbox em campanhas reais, então isolamento por si só não substitui a atualização/remoção do componente.

Não há assinatura de rede ou indicador de comprometimento específico documentado nas fontes oficiais para esta CVE — o advisory da Adobe não detalha o vetor de exploração. Sinais indiretos incluem crashes recorrentes do processo do plugin Flash (flashplayerplugin/pepflashplayer) associados ao carregamento de SWF em páginas específicas, e a presença de módulos de exploração conhecidos (Metasploit) em tráfego de rede ou em análise de malware entregue via drive-by download; ambientes com EDR devem monitorar processos filhos anômalos gerados pelo navegador após renderização de conteúdo Flash.