CVE-2020-0674
Priorize a correção. Ela está sob exploração confirmada pelo CISA, tem prova de conceito pública e 1 grupo(s) de ameaça a utilizam.
Grupos conhecidos por explorar esta vulnerabilidade (atribuição MITRE ATT&CK).
Apply updates per vendor instructions.
Resumo
Use-after-free na engine de script legada do Internet Explorer (jscript.dll), explorada como 0-day in-the-wild antes da correção — descoberta pela Qihoo 360 em campanha ativa. O CVSS de 7.5 já reflete que a exploração exige interação do usuário e complexidade de ataque alta (heap grooming), não é um RCE trivial de rede, mas está no catálogo KEV da CISA com PoC público funcional.
Detalhamento técnico
A falha é um clássico UAF (CWE-416) na função Array.sort() da engine JScript legada quando usada com uma função comparadora fornecida pelo script. Os dois argumentos passados para o comparator não são rastreados corretamente pelo Garbage Collector do JScript; se o GC for disparado durante a execução do comparator, os objetos referenciados podem ser liberados enquanto ainda há referências ativas apontando para eles.
O atacante controla o conteúdo da função comparadora e, por extensão, pode forçar o momento em que o GC roda (via alocações adicionais dentro do próprio comparator) para garantir que a memória liberada seja realocada com um objeto controlado. Isso dá controle sobre um ponteiro que a engine acredita ainda ser válido, abrindo caminho para corrupção de memória e, em sequência, execução de código arbitrário no contexto do usuário atual.
A superfície de ataque é a engine JScript legada (não a Chakra/JScript9 usada por padrão em modo moderno), o que significa que o vetor depende do IE (ou de um componente/aplicação que hospede o controle WebBrowser/MSHTML) processar script nessa engine — cenário comum em zonas de compatibilidade, ActiveX embutido em documentos Office, ou aplicações legadas que hospedam o IE.
Como é explorada
O vetor é uma página web ou documento que embuta conteúdo IE (ex.: controle ActiveX/WebBrowser) contendo o script malicioso com o comparator manipulado. Exige interação do usuário (abrir um link ou documento) — não há exploração remota sem essa etapa, e é por isso que UI:R aparece no vetor CVSS. A complexidade de ataque é alta (AC:H) porque o exploit depende de heap grooming preciso para posicionar o objeto controlado no espaço liberado e, na prática, de bypass de mitigações como ASLR/DEP para conseguir execução de código confiável.
O PoC público (maxpl0it) demonstra a técnica em builds x64 de IE 8 a 11 no Windows 7, populando a memória liberada e conseguindo popping de calc.exe. O autor do PoC nota que a exploração funciona mesmo com Enhanced Protected Mode habilitado — porque no Windows 7 o EPM apenas ativa o processo x64 do navegador, sem isolar de fato via sandbox adicional — e que apenas parte das mitigações do EMET (detecção de stack pivot) foi contornada, sem bypass completo de EAF+ nas versões mais recentes do EMET.
A exploração in-the-wild foi identificada pela Qihoo 360 antes da correção da Microsoft, o que motivou a inclusão no catálogo KEV da CISA (adicionada em 03/11/2021, com prazo de correção definido para 03/05/2022 para agências federais dos EUA). Não há detalhes públicos, nas fontes consultadas, sobre o grupo de ameaça ou o objetivo da campanha original.
Versões
Como se proteger
O fornecedor recomenda aplicar a atualização de segurança da Microsoft para o Internet Explorer/scripting engine referente ao boletim de fevereiro de 2020 (data de publicação da CVE: 11/02/2020). As fontes consultadas não trazem o número exato do KB/patch — não invente esse dado; confirme a build corrigida diretamente no advisory do MSRC (portal.msrc.microsoft.com) para a versão específica de Windows/IE em uso.
Como paliativo quando a atualização não pode ser aplicada imediatamente: restringir ou desativar a execução da engine JScript legada (registro/GPO que desabilita jscript.dll ou força o uso exclusivo do modo moderno da engine de script), e restringir a execução do IE em zonas não confiáveis via Enhanced Protected Mode — embora o PoC público demonstre que isso não bloqueia a exploração por si só nas condições testadas (Windows 7 x64). Migrar o tráfego web e a renderização de conteúdo para um navegador que não dependa mais do IE/MSHTML reduz a superfície de forma mais efetiva, já que o IE é um produto legado sem desenvolvimento ativo de novas mitigações.
Não funciona como mitigação: confiar apenas no EMET ou em Enhanced Protected Mode como barreira completa — o próprio autor do exploit documenta que essas camadas não impedem a exploração nas configurações testadas, apenas dificultam parcialmente.
Como detectar
Sinal mais direto é crash do processo iexplore.exe/jscript.dll com padrão de corrupção de heap durante execução de Array.sort() com comparator customizado — dumps de crash mostrando acesso a memória já liberada nesse contexto são o indicador técnico central. EDRs podem sinalizar padrões de heap spray e shellcode injetado seguidos de spawn de processo filho suspeito a partir do IE (o PoC público usa spawn de calc.exe como prova de conceito, mas campanhas reais provavelmente usam payloads distintos).
Não há assinatura de rede ou IOC universal documentado nas fontes consultadas para a campanha original detectada pela Qihoo 360 — a exploração observada in-the-wild não teve detalhes técnicos de infraestrutura ou payload divulgados publicamente, o que limita a detecção a análise comportamental/heurística no endpoint em vez de assinaturas conhecidas.