CVE-2017-11882

Falha de corrupção de memória no Equation Editor (EQNEDT32.EXE), componente do Microsoft Office usado para renderizar fórmulas matemáticas via objetos OLE. É uma das CVEs mais exploradas da história recente porque não exige macro, funciona em toda a linha do Office de 2007 a 2016, e o binário vulnerável ficou sem recompilação (sem ASLR/DEP) por quase 17 anos. Está no catálogo KEV da CISA, tem EPSS praticamente em 1.0 e é peça-padrão em campanhas de phishing com documentos RTF/DOC até hoje.

O Equation Editor é um executável separado (EQNEDT32.EXE) que o Word/Excel/PowerPoint invoca via OLE quando o documento contém um objeto do tipo Microsoft Equation 3.0. Ao processar a estrutura de um objeto de equação — especificamente um campo que define o nome de uma fonte —, o código copia os dados para um buffer de tamanho fixo na stack sem validar o tamanho de entrada corretamente. É um buffer overflow clássico baseado em stack (CWE-121/CWE-787), do tipo que praticamente desapareceu do restante do Office graças a mitigações de compilador modernas.

O detalhe crítico é que o EQNEDT32.EXE foi compilado por volta do ano 2000 e nunca foi recompilado com as flags de proteção usadas no resto do Office moderno: sem ASLR, sem /GS efetivo no ponto vulnerável. Isso torna a exploração determinística — o atacante consegue prever endereços de memória sem precisar de técnicas de bypass de ASLR, o que é raro em vulnerabilidades de corrupção de memória de 2017.

O atacante controla o conteúdo do objeto OLE embutido no documento, incluindo o campo malformado que dispara o overflow e o shellcode ou comando que sobrescreve o fluxo de execução. Como o Equation Editor roda como processo filho do Office com os mesmos privilégios do usuário logado, a execução de código ocorre no contexto do usuário atual — não há elevação de privilégio automática.

A vulnerabilidade é distinta de CVE-2017-11884, publicada no mesmo boletim, que afeta outro ponto do mesmo componente.

O vetor é um documento do Office — RTF é o formato mais usado nos exploits públicos e nas campanhas reais, mas DOC/DOCX com objeto OLE embutido também funciona. O documento contém um objeto Equation 3.0 malformado; ao ser aberto (ou, em alguns casos, apenas pré-visualizado), o Word instancia o EQNEDT32.EXE para renderizar a fórmula, e o overflow é acionado no parsing do objeto. A pré-condição real é só uma: o usuário precisa abrir o arquivo (UI:R no vetor CVSS confirma isso) — não precisa habilitar macros, não precisa de configuração fora do padrão, não precisa de autenticação em nada.

Provas de conceito públicas (embedi, rxwx, unamer) mostram duas abordagens comuns: execução de comando via WinExec/cmd.exe embutido no próprio buffer de overflow (limitado a alguns milhares de bytes de payload, ~17KB no PoC do unamer), ou encadeamento com o serviço WebClient (WebDAV) para buscar e executar um binário arbitrário de um servidor controlado pelo atacante, contornando o limite de tamanho do comando inicial. Há também a técnica descrita pela reversingminds de ataque 'fileless' — sem macro, sem escrita de arquivo intermediário visível, usando mshta.exe ou similar como living-off-the-land binary para baixar e executar o payload final.

A exploração é trivial de reproduzir (módulo Metasploit público, múltiplos geradores de RTF malicioso no GitHub) e está confirmada em exploração ativa há anos — CISA a lista no KEV. Na prática, é uma das CVEs mais reaproveitadas em kits de malware distribuído por e-mail, frequentemente combinada com outras técnicas de evasão de AV porque a assinatura de RTF malicioso é bem conhecida e detectada por soluções atualizadas.

A correção definitiva é aplicar a atualização de segurança de novembro de 2017 da Microsoft para a versão específica do Office instalada (2007 SP3, 2010 SP2, 2013 SP1 ou 2016) — a Microsoft optou por recompilar o Equation Editor com proteções modernas em vez de apenas corrigir o bug de validação. Vale checar o histórico de updates da instalação, porque instalações antigas ou desatualizadas de qualquer uma dessas versões continuam vulneráveis mesmo em 2024+.

A fonte 0patch aponta que o patch oficial da Microsoft teve problemas próprios — o primeiro post descreve indícios de que a correção foi aplicada 'manualmente' no binário (sem recompilação completa a partir do código-fonte), e o segundo relata que o patch oficial 'encontrou' um novo problema. Isso reforça que a mitigação não deve ser tratada como trivial: confirme que a versão do Office está realmente com o patch de novembro de 2017 ou posterior, e não apenas com 'qualquer atualização recente'.

Quando a atualização não pode ser aplicada imediatamente, o controle compensatório mais eficaz e amplamente adotado é desabilitar o registro COM do Equation Editor, impedindo que o EQNEDT32.EXE seja instanciado por documentos do Office — isso neutraliza toda a classe de exploração via Equation 3.0, ao custo de usuários legítimos perderem a capacidade de editar fórmulas nesse formato específico (o Office moderno usa outro editor de equações nativo, então o impacto funcional costuma ser baixo). Bloquear a abertura automática de RTF recebido por e-mail e desabilitar o serviço WebClient (WebDAV) nas estações reduz a superfície de uma das cadeias de exploração mais usadas, mas não fecha a vulnerabilidade em si — só dificulta uma das variantes. Antivírus com assinatura para RTF malicioso ajuda contra os PoCs públicos conhecidos, mas não é mitigação confiável contra variantes ofuscadas.

Em endpoint, o sinal mais forte é EQNEDT32.EXE sendo iniciado como processo filho de WINWORD.EXE, EXCEL.EXE, POWERPNT.EXE ou OUTLOOK.EXE e, em seguida, gerando processos filhos atípicos como cmd.exe, mshta.exe, powershell.exe ou conexões de rede diretas — esse padrão de árvore de processos (Office → EQNEDT32.EXE → shell/LOLBin) é o indicador clássico usado em regras de EDR/Sysmon para essa família de exploração. Em nível de rede, tráfego SMB/WebDAV (porta 445 ou WebClient) saindo de uma estação logo após a abertura de um anexo de e-mail é suspeito, dado que várias cadeias de exploração usam UNC paths para buscar o payload final.

Em nível de arquivo, documentos RTF/DOC contendo objetos OLE do tipo 'Microsoft Equation 3.0' (MTEF) com campos de tamanho anômalo podem ser triados por ferramentas de análise estática de OLE, mas isso gera falsos positivos com documentos legítimos que usam fórmulas — não é um sinal binário confiável sem análise mais profunda do payload embutido.