CVE-2018-0824

Falha de desserialização insegura (CWE-502) no subsistema Microsoft COM para Windows, que permite execução remota de código ou escalonamento de privilégios via um arquivo ou script malicioso especialmente formatado. A Microsoft descreve como RCE, mas a análise pública independente (Code White) documentou principalmente o vetor de escalonamento de privilégios local — a exploração remota exige convencer a vítima a abrir um arquivo, o que reduz a severidade prática frente ao CVSS. Entrou no catálogo KEV da CISA em agosto de 2024, seis anos após a correção, indicando exploração observada tardiamente, possivelmente em cadeias de pós-exploração.

A vulnerabilidade está no tratamento de objetos serializados pelo Microsoft COM (Component Object Model) no Windows. O CWE associado, conforme classificação da CISA no KEV, é CWE-502 (Deserialization of Untrusted Data): o componente desserializa dados de objetos sem validar adequadamente seu conteúdo ou origem, permitindo que um atacante que controle o blob serializado influencie o comportamento do processo que o desserializa — incluindo, potencialmente, o fluxo de execução.

O pesquisador Nicolas Joly, do MSRC, reportou a falha à própria Microsoft, que a corrigiu descrevendo-a como capaz de RCE via arquivo ou script especialmente criado. A pesquisa pública subsequente, feita pela Code White, focou no ângulo de escalonamento de privilégios local usando COM — os autores declaram explicitamente que, embora a falha possa levar a RCE, o interesse deles era nos aspectos de EoP, sugerindo que a cadeia completa de exploração remota envolve complexidade adicional não detalhada publicamente.

O vetor CVSS (AC:H, UI:R, PR:N) reflete isso: complexidade de ataque alta e interação do usuário necessária. Não há, nas fontes disponíveis, detalhamento de qual DLL, classe COM ou API específica do sistema realiza a desserialização vulnerável — essa camada de detalhe técnico não foi publicada em texto acessível nas referências levantadas, apenas mencionada como estando no blogpost técnico da Code White.

Segundo o próprio advisory da Microsoft (relatado via ExploitDB/Code White), há dois cenários de ataque: por e-mail, o atacante envia à vítima um arquivo especialmente criado e a convence a abri-lo; ou baseado em web, o atacante hospeda (ou compromete) um site com o arquivo malicioso e precisa convencer a vítima a clicar em um link e depois abrir o arquivo — não há forma de forçar a visita ao site nem a abertura automática do arquivo. Em ambos os casos a interação do usuário é obrigatória, não é um RCE 'zero-click'.

O PoC público (EDB-ID 44906, autoria Code White) demonstra o componente de escalonamento de privilégios local via COM, não uma cadeia remota completa de RCE. Isso significa que, na prática, boa parte do material de exploração disponível publicamente serve para elevação de privilégios em uma máquina já com acesso local, e não para comprometimento remoto direto — um detalhe relevante para quem avalia o risco real em seu ambiente.

A presença no catálogo KEV da CISA confirma exploração no mundo real, mas a entrada foi adicionada apenas em agosto de 2024, seis anos após a publicação original (2018) — sugerindo uso tardio ou reaproveitamento da técnica em campanhas específicas, possivelmente em conjunto com outras falhas para movimento lateral ou pós-exploração. A CISA classifica o uso em campanhas de ransomware como 'desconhecido'.

A correção definitiva é a atualização de segurança da Microsoft de maio de 2018 (Patch Tuesday) que corrige o tratamento de objetos serializados pelo COM. As fontes disponíveis não especificam os números de KB por sistema operacional nem builds exatas — para aplicar corretamente, confirme no MSRC/Windows Update qual KB corresponde ao seu sistema operacional específico (Windows 7, 8.1, 10 e as edições Server correspondentes listadas no advisory), já que não há dados de build catalogados aqui que possam ser reproduzidos com segurança.

Como mitigação primária, a orientação da CISA no KEV é genérica: aplicar as mitigações do fornecedor ou descontinuar o uso do produto caso não seja possível corrigir. Não há flag de configuração, GPO ou controle compensatório documentado nas fontes levantadas que neutralize especificamente essa falha sem o patch — dado o vetor de ataque exigir interação do usuário, treinamento de conscientização contra abertura de arquivos não solicitados e políticas de bloqueio de anexos/execução de scripts reduzem a superfície, mas não eliminam a vulnerabilidade subjacente no COM.

Não confie apenas em antivírus ou EDR como mitigação suficiente: a falha está no tratamento de dados desserializados pelo próprio sistema operacional, não em um binário malicioso facilmente assinaturável.

Não há assinatura ou indicador de comprometimento público e confiável documentado nas fontes consultadas para identificar tentativas de exploração remota via COM. Como o vetor depende de abertura de arquivo malicioso pelo usuário, monitorar processos que instanciam objetos COM a partir de arquivos recebidos por e-mail ou download, e correlacionar com o EDB-ID 44906 (que documenta o comportamento do PoC de escalonamento de privilégios local), são os únicos pontos de partida práticos — mas não substituem telemetria específica de EDR para chamadas anômalas de desserialização COM, que não está detalhada nas fontes disponíveis.