CVE-2015-2387

Falha de corrupção de memória no ATMFD.DLL, o driver que implementa o Adobe Type Manager (renderização de fontes PostScript Type 1) dentro do kernel do Windows. Um usuário local autenticado que execute uma aplicação maliciosa pode elevar privilégios até SYSTEM. Ganhou relevância prática em 2015 porque foi usada como componente de escalação de privilégio em cadeias de exploração que combinavam 0-days do Adobe Flash (vazados no leak da Hacking Team) para escapar de sandbox e sobrescrever proteções de integridade baixa.

ATMFD.DLL roda em modo kernel (win32k) e processa fontes Type 1 embutidas em documentos ou carregadas pelo sistema. A Microsoft descreveu a correção como ajuste em "como o Adobe Type Manager Font Driver manipula objetos na memória" — uma formulação genérica típica de bulletins da época, sem detalhar se é overflow, use-after-free ou confusão de tipo. O CWE associado no catálogo KEV é CWE-264 (controle de permissão/privilégio impróprio), consistente com o resultado da falha (execução em contexto elevado) mas não descreve o bug de memória em si.

O atacante precisa de uma sessão local autenticada (PR:L) e roda uma aplicação especialmente criada que aciona o processamento vulnerável de fontes pelo driver — não há interação adicional de usuário exigida (UI:N) além disso. Como ATMFD.DLL opera em modo kernel, uma exploração bem-sucedida dá ao atacante execução com privilégios de SYSTEM, contornando mecanismos de sandbox (Protected Mode do IE, sandbox do Chrome/Adobe Reader) e Protected View do Office.

O uso documentado em 2015 (TA15-195A) não foi como vulnerabilidade isolada, mas como segundo estágio de uma cadeia: um exploit remoto do Adobe Flash (CVE-2015-5119, 5122 ou 5123), entregue via conteúdo Flash em navegador, e-mail com anexo, ou documento Office que baixa Flash via OLE, obtinha execução de código em contexto de baixo privilégio; a exploração do CVE-2015-2387 então elevava esse código para privilégios de sistema. Isso torna a CVE relevante mesmo com AV:L (acesso local), porque o vetor de entrada real do ataque era remoto — a fase local era apenas a escalação final.

A presença no catálogo KEV da CISA confirma exploração ativa documentada, embora a data de inclusão (2022) seja muito posterior à divulgação original — reflete o processo de catalogação retroativa da CISA, não uma nova onda de exploração em 2022.

Aplicar a atualização do boletim MS15-077 (KB3077657), disponível desde julho de 2015 para todas as versões afetadas do Windows, de Server 2003 SP2 até Server 2012 R2 e Windows RT/8.1. Não há paliativo de configuração real documentado nas fontes disponíveis — a única mitigação estrutural mencionada pelo CERT/CISA na época foi reduzir a superfície de ataque do vetor de entrada (bloquear ou restringir conteúdo Flash não confiável, usar EMET com Attack Surface Reduction para impedir que IE/Office carreguem o controle ActiveX do Flash), já que a exploração prática dependia de encadear esta falha com um exploit remoto do Flash.

Dado que essas versões de Windows estão fora do ciclo de suporte há anos, o KB3077657 pode não estar mais disponível via Windows Update para sistemas não cobertos por acordos de suporte estendido; nesses casos não existe mitigação de configuração equivalente — o driver ATMFD é parte do núcleo de renderização de fontes e não há flag documentada para desativá-lo sem perda de funcionalidade que substitua o patch.

As fontes consultadas não descrevem indicador de comprometimento específico (assinatura de log, evento de sistema ou padrão de tráfego) para tentativas de exploração desta CVE isoladamente. Como a exploração documentada ocorreu em cadeia com exploits de Adobe Flash, o sinal mais prático de investigação é retroativo: buscar por artefatos de exploração de CVE-2015-5119/5122/5123 (conteúdo Flash malicioso em navegador, e-mail ou documento Office com OLE para Flash) seguidos por criação de processo com privilégios SYSTEM não explicada na mesma sessão de usuário.