CVE-2017-11826

Falha de corrupção de memória (CWE-119) no motor de renderização de objetos do Microsoft Word/Office que permite execução remota de código quando a vítima abre um documento (RTF ou DOC) malicioso. A CVE foi corrigida em outubro de 2017, mas pesquisadores da Qihoo 360 já haviam identificado malware explorando-a como 0-day antes do patch, e a CISA só a incluiu no catálogo KEV em março de 2022 — evidência de que exploits para essa falha continuaram circulando e sendo usados anos depois da correção estar disponível.

A falha está classificada pela CISA sob CWE-119 (restrição inadequada de operações dentro dos limites de um buffer de memória): o parser de objetos do Word falha ao validar corretamente estruturas em memória ao processar determinados objetos incorporados em documentos, o que leva à corrupção de heap/memória e, em última instância, à execução de código no contexto do usuário atual.

A análise da Tarlogic sobre amostras reais do exploit mostra que o vetor de entrega é um arquivo RTF contendo três objetos OLE: um objeto "Linked" que referencia o CLSID {D5DE8D20-5BB8-11D1-A1E3-00A0C90F2731} — que no registro do Windows resolve para a classe VBPropertyBag, implementada em msvbvm60.dll — e dois objetos "Embedded" do tipo Word.Document.12 contendo os documentos .doc que efetivamente disparam a corrupção de memória exploitável.

O papel do primeiro objeto não é a vulnerabilidade em si, mas um facilitador de exploração: forçar o Word a carregar msvbvm60.dll faz com que esse módulo — que não é compilado com ASLR — fique mapeado em endereço fixo e conhecido na memória do processo, dando ao atacante um bypass de ASLR necessário para tornar a exploração da corrupção de memória confiável. Os dois objetos Word.Document.12 embutidos são os componentes que efetivamente acionam a falha de manipulação de objetos descrita pela Microsoft.

O CVSS 3.1 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) reflete que o vetor de ataque é local (o processo é explorado localmente na máquina da vítima, não pela rede) e que exige interação do usuário — abrir o arquivo malicioso —, mas não exige privilégios nem autenticação prévios.

O vetor prático é phishing com anexo: um documento RTF ou DOC malicioso enviado por e-mail, que a vítima precisa abrir no Word (ou em qualquer componente afetado — Word Viewer, Office Web Apps, Office Online Server, SharePoint via Word Automation Services). Não há necessidade de macros habilitadas nem de configuração não padrão; a exploração ocorre no próprio parsing do objeto pelo Word.

Segundo a Tarlogic, o Qihoo 360 Core Security reportou ter encontrado malware explorando essa vulnerabilidade cerca de um mês antes do patch de outubro de 2017 ser publicado — ou seja, houve exploração como 0-day em campanhas reais antes da correção existir. Após o patch, amostras e PoCs públicos ficaram disponíveis e times de red team (como a própria Tarlogic) documentaram como adaptar o exploit original para payloads customizados, o que baixou a barreira técnica para reuso da falha.

A presença no catálogo KEV da CISA (adicionada em março de 2022, prazo de correção 24/03/2022) indica exploração ativa continuada muito depois da correção original — típico de ambientes que nunca aplicaram os patches de 2017, frequentemente via kits de exploração de documentos Office reciclados em campanhas de malware genérico, não necessariamente ligadas ao ator original.

A mitigação definitiva é aplicar as atualizações de segurança da Microsoft de outubro de 2017 para o produto e versão específicos em uso (Office 2010, Word 2007/2010/2013/2016, Word Viewer, SharePoint Server/Enterprise Server 2010, Office Web Apps Server 2010/2013, Office Online Server, Word Automation Services). O advisory oficial do MSRC (referenciado abaixo) lista os boletins e atualizações por produto; como não dispomos aqui dos números exatos de KB por build, a orientação prática é confirmar no MSRC/Windows Update que o sistema não está mais entre as versões vulneráveis listadas.

Como paliativo quando a atualização não pode ser aplicada imediatamente, existiu um micropatch de terceiros (0patch) cobrindo especificamente essa falha — útil como controle temporário em sistemas legados sem suporte, mas é um substituto de terceiros para o patch oficial, não uma correção do fornecedor, e deve ser tratado como medida de curto prazo até a atualização real ser aplicada. Bloquear ou colocar em quarentena anexos RTF/DOC de origem externa, e desabilitar a renderização automática de preview de documentos Office no cliente de e-mail, reduz a superfície de entrega, mas não elimina o risco caso o usuário abra o arquivo manualmente.

Não funciona como mitigação: desabilitar macros, já que essa exploração não depende de VBA/macros — ela ocorre no parsing de objetos OLE embutidos independentemente de macros estarem habilitadas ou não.

Um indicador de comprometimento documentado é a presença, dentro de um arquivo RTF, de um objeto OLE do tipo "Linked" referenciando o CLSID {D5DE8D20-5BB8-11D1-A1E3-00A0C90F2731} (classe VBPropertyBag, resolvida para msvbvm60.dll) combinado com objetos "Embedded" da classe Word.Document.12 — esse padrão foi identificado em amostras reais do exploit e pode ser buscado com ferramentas de análise de RTF/OLE como o rtfobj (oletools). Fora esse padrão específico de amostra pública, não há um sinal de rede confiável, já que a exploração ocorre inteiramente no processo local do Word/Office após a abertura do arquivo — monitoramento deve focar em EDR para comportamento pós-exploração (spawning de processos anômalos a partir de WINWORD.EXE) e em gateways de e-mail para anexos RTF/DOC suspeitos.