CVE-2019-0752

Falha de type confusion no motor de scripts do Internet Explorer (afeta IE 10 e IE 11) que permite execução remota de código quando a vítima visita uma página maliciosa ou abre um arquivo malicioso. Está no catálogo KEV da CISA com exploração confirmada e possui PoC pública, mas o CVSS 7.5/8.8 é enganoso isoladamente: exige interação do usuário e, na prática, campanhas de exploração dependiam de convencer a vítima a abrir conteúdo controlado pelo atacante — não é um ataque silencioso sem clique.

A vulnerabilidade é uma type confusion (CWE-843) na forma como o scripting engine do Internet Explorer manipula propriedades de objetos DOM em memória. Segundo a Zero Day Initiative (ZDI-19-359), a falha específica está no tratamento de comandos de script que definem certas propriedades de objetos DOM: ao executar sequências de script que manipulam essas propriedades, é possível fazer o engine interpretar um objeto como sendo de um tipo diferente do real, corrompendo o layout de memória esperado.

Esse tipo de bug em scripting engines de navegador tipicamente permite ao atacante controlar ponteiros ou vtables que o motor de script trata como confiáveis, abrindo caminho para desvio de fluxo de execução. O atacante controla o conteúdo do script executado na página (ou documento) e, por meio dele, a sequência de operações que dispara a confusão de tipo — mas não há, nas fontes disponíveis, detalhamento público de qual objeto/propriedade exata é o vetor, o que limita reprodução independente sem o PoC.

A Microsoft atribui à CVE um ID próprio e distinto de outras falhas do mesmo lote de scripting engine divulgadas no mesmo boletim (CVE-2019-0739, CVE-2019-0753, CVE-2019-0862), indicando que são pontos de código diferentes dentro do motor de script, não a mesma causa raiz relatada várias vezes.

O vetor primário é a web: a vítima precisa visitar uma página maliciosa (ou ser levada a um documento/arquivo que renderiza conteúdo via IE, incluindo cenários de documento do Office que hospeda o engine do IE) — por isso o CVSS traz UI:R (interação do usuário obrigatória) e AC:H (complexidade de ataque alta) na versão 3.1 oficial, embora a ZDI tenha pontuado AC:L em sua própria avaliação. Não há exigência de autenticação nem de configuração não padrão: qualquer instalação padrão de IE 10/11 que renderize a página maliciosa é candidata.

Após disparar a type confusion, o atacante obtém execução de código no contexto do processo atual do IE — o que, dependendo do nível de integridade e das mitigações do sistema (Protected Mode, EPM, sandbox), pode significar comprometimento parcial ou total da máquina, geralmente combinado com uma falha de escape de sandbox ou elevação de privilégio em cadeia de exploração real.

A CISA confirma exploração ativa (entrada no catálogo KEV, adicionada em 2022-02-15, sem indicação de uso em campanhas de ransomware) e há PoC pública referenciada via Packet Storm, reduzindo a barreira de reprodução para quem já tem acesso ao código de exploração. Não há, nas fontes consultadas, atribuição a grupo de ameaça específico nem detalhes de campanha.

A correção veio via atualização de segurança da Microsoft distribuída no boletim de abril de 2019 referenciado pelo MSRC (portal.msrc.microsoft.com/.../CVE-2019-0752); a ação recomendada pela CISA no KEV é simplesmente 'aplicar atualizações conforme instruções do fornecedor'. As fontes disponíveis não trazem o número exato do KB ou a build de correção por sistema operacional — não é possível listar aqui sem risco de erro; consulte o advisory oficial do MSRC para o KB específico da sua versão de Windows.

Como paliativo quando a atualização não pode ser aplicada imediatamente: reduzir a superfície de exposição do Internet Explorer como motor de renderização — isso inclui desativar ou restringir o uso do IE como navegador padrão, bloquear a renderização de conteúdo IE em aplicações legadas que embutem o mshtml/scripting engine, e impor Enhanced Protected Mode. Como o vetor depende de interação do usuário, controles de filtragem de e-mail e URL que bloqueiem o acesso a páginas/documentos não confiáveis reduzem a exposição, mas não eliminam o risco caso o usuário seja convencido a abrir o conteúdo.

Não funciona como mitigação real: apenas orientar usuários a 'não clicar em links suspeitos' sem controle técnico, já que o engine vulnerável pode ser invocado por componentes que hospedam o mshtml fora do navegador tradicional (documentos, controles ActiveX em outras aplicações). A única mitigação com efeito comprovado é a atualização de segurança da Microsoft ou a remoção/desativação do componente vulnerável.

Não há, nas fontes consultadas, indicadores de comprometimento (IOCs) públicos específicos para esta CVE — nem hashes, nem domínios, nem assinaturas de rede citadas pela CISA ou pela ZDI. Como sinal geral, ambientes devem monitorar processos do Internet Explorer (iexplore.exe, ou mshtml.dll carregado por outros processos) gerando comportamento anômalo após navegação — criação de processos filhos inesperados, injeção em memória, ou conexões de rede pós-renderização de página — e correlacionar com acesso a URLs recém-registradas ou não categorizadas. A presença de PoC público (Packet Storm) sugere que amostras de exploração podem ser usadas para gerar assinaturas de EDR/AV, mas nenhuma assinatura específica foi documentada nas fontes lidas.