Microsoft MSHTML Remote Code Execution Vulnerability

Falha de execução remota de código no MSHTML, o motor de renderização herdado do Internet Explorer que o Windows ainda usa internamente. Foi explorada como zero-day em ataques direcionados via documentos do Office armadilhados antes que existisse patch, e entrou na KEV da CISA logo após a divulgação. O impacto real depende de o usuário abrir um arquivo e, em cenários corporativos com privilégios reduzidos, o dano pós-exploração é limitado — mas a cadeia de entrega é trivial de disparar (basta abrir o documento, sem habilitar macro).

A falha está no componente MSHTML (jscript/trident) que o Windows expõe para qualquer aplicação que precise renderizar HTML — inclusive o Microsoft Office, que usa esse motor para exibir certos tipos de objeto incorporado. Um documento do Office (Word, tipicamente .docx ou .rtf) pode conter uma referência a um objeto OLE externo que aponta para uma URL remota controlada pelo atacante. Ao processar esse objeto, o Office invoca o MSHTML para buscar e interpretar o conteúdo remoto, e é nesse processamento que a lógica de instanciação de um controle ActiveX malicioso é explorada, permitindo execução de código fora do que o documento deveria ter permissão de fazer.

O mecanismo de entrega documentado publicamente envolve um arquivo HTML hospedado remotamente que aciona um controle ActiveX do MSHTML, o qual baixa um pacote (arquivo .cab com conteúdo tipo .inf) que, ao ser processado, resulta em execução de código nativo no contexto do usuário que abriu o documento. Não há necessidade de habilitar macros VBA — esse é o ponto que tornou a falha perigosa, já que bloqueio de macro (controle amplamente implantado) não mitiga o vetor.

O catálogo KEV da CISA classifica a entrada sob CWE-22 (path traversal), mas essa classificação não reflete bem a mecânica real descrita por Microsoft e por pesquisadores independentes, que é execução de código via instanciação indevida de ActiveX/objeto OLE processado pelo MSHTML — trate o CWE-22 do catálogo como rótulo genérico, não como descrição técnica precisa.

O Modo Protegido do Office (Protected View), que abre documentos vindos da internet/e-mail em sandbox restrito, reduz o impacto do vetor via .docx padrão. Variações do exploit usando arquivos .rtf circularam publicamente porque o RTF é renderizado fora do Protected View em algumas configurações, eliminando essa camada de contenção — esse detalhe de formato de arquivo é relevante para quem avalia exposição real.

Vetor primário: e-mail de phishing com documento do Office anexado. A exploração exige interação do usuário (abrir o arquivo) — não há execução automática por preview no Explorer nem por recebimento passivo do e-mail. Não exige autenticação prévia nem acesso de rede privilegiado; o único pré-requisito de infraestrutura do atacante é hospedar o conteúdo HTML/CAB malicioso em um servidor acessível pela máquina da vítima.

Microsoft confirmou, na divulgação inicial, ataques direcionados ('targeted attacks') usando documentos de Office especialmente criados, antes da existência de correção — ou seja, foi um zero-day ativamente explorado, o que justificou sua inclusão na KEV da CISA poucas semanas após a publicação. Existem módulo Metasploit e provas de conceito públicas, o que baixou a barreira técnica para reprodução após a divulgação; a complexidade de construir a cadeia de exploração do zero era considerável, mas replicar PoCs já publicados não exige conhecimento avançado.

O resultado final da exploração completa é execução de código arbitrário no contexto do usuário que abriu o documento. Contas com privilégios administrativos sofrem impacto maior (controle total do host); contas com privilégios reduzidos limitam o alcance pós-exploração, conforme o próprio advisory da Microsoft observa.

A correção definitiva é aplicar a atualização de segurança cumulativa da Microsoft de setembro de 2021 (fora do ciclo normal, publicada em 14/09/2021) para a versão específica de Windows em uso — a lista de builds afetadas cobre desde Windows 7 SP1 até as versões então suportadas do Windows 10 e servidores correspondentes. Os números exatos de KB variam por build e branch de suporte; consulte o advisory oficial da Microsoft (MSRC) para o KB correto da sua versão antes de considerar o sistema corrigido.

Enquanto o patch não pudesse ser aplicado, a Microsoft publicou um workaround via registro do Windows para desabilitar a instalação de todos os controles ActiveX no Internet Explorer (afetando também o MSHTML usado pelo Office), reduzindo a superfície de exploração ao custo de quebrar funcionalidades legadas que dependam de ActiveX. Esse workaround não é substituto do patch — é paliativo temporário e deve ser revertido após a atualização, se aplicado manualmente via registro.

Desabilitar macros do Office NÃO mitiga essa falha — é o mito mais comum associado a essa CVE, já que o vetor não depende de macro. Manter documentos abertos exclusivamente em Protected View (bloqueando edição/preview de arquivos originados de fora da organização) reduz o risco para o formato .docx padrão, mas não cobre variantes em .rtf, que renderizam fora dessa proteção em cenários documentados publicamente.

Microsoft Defender Antivirus e Microsoft Defender for Endpoint passaram a detectar a técnica associada a essa falha a partir do build de detecção 1.349.22.0; em ambientes com Defender for Endpoint, o alerta aparece como 'Suspicious Cpl File Execution' — útil como indicador retroativo de tentativa de exploração via o payload .cpl/.cab característico da cadeia. Em nível de rede e e-mail, procure documentos do Office (.docx, .rtf) recebidos por e-mail que contenham referências a objetos OLE externos apontando para URLs remotas incomuns, e conexões de saída do processo winword.exe/outlook.exe para hosts HTTP não corporativos imediatamente após a abertura de um anexo.

Não há assinatura de rede única e confiável, porque o conteúdo malicioso hospedado remotamente varia por campanha; ausência de alerta do Defender não é garantia de que não houve tentativa, especialmente em ataques anteriores à atualização das assinaturas.