Windows MSHTML Platform Spoofing Vulnerability

Falha de spoofing na plataforma MSHTML do Windows (o motor de renderização legado do Internet Explorer, ainda presente no sistema mesmo após a descontinuação do IE) que permite a um atacante mascarar a natureza real de um arquivo ou link para induzir a vítima a executá-lo. Está confirmada como explorada ativamente (KEV da CISA, prazo de mitigação até 2024-07-30) e tem CVSS 7.5, mas o vetor CVSS (AC:H, UI:R) já deixa claro que não é execução remota automática: depende de engenharia social e de o usuário clicar em algo.

Classificada como CWE-451 (User Interface Misrepresentation of Critical Information). O problema está em como o MSHTML (mshtml.dll) processa determinados objetos/links de forma que a interface apresentada ao usuário não reflete o conteúdo ou destino real — por exemplo, um arquivo que parece ser de um tipo inofensivo (documento, imagem) mas que, ao ser aberto, é tratado por componentes do IE legado embutidos no Windows.

O ponto estrutural relevante é que o Internet Explorer foi descontinuado como aplicativo, mas o componente mshtml.dll continua instalado e acessível por outras rotas (como arquivos de atalho .url configurados para forçar abertura via IE), o que permite reintroduzir comportamentos e falhas de renderização do IE legado em um sistema moderno que, na superfície, não usa mais esse navegador.

O atacante controla o conteúdo do arquivo/link entregue à vítima e a forma como ele é apresentado (ícone, extensão exibida, texto do link). O que ele não controla é a execução — ela depende da vítima interagir (abrir o arquivo ou clicar no link), o que explica o UI:R e o AC:H no vetor CVSS: a exploração exige preparação específica do artefato e não é trivialmente automatizável contra qualquer alvo.

O vetor típico é entrega por e-mail ou download de um arquivo/link malicioso disfarçado, explorando a discrepância entre o que a interface do Windows mostra e o que realmente será executado ao abrir o item. Pré-requisito central: interação do usuário (Privileges Required: None, mas User Interaction: Required). Não há elevação de privilégio nem execução remota sem clique.

A CISA confirma exploração ativa no mundo real (por isso a entrada no catálogo KEV com prazo de correção de três semanas), e há PoC pública circulando, o que reduz a barreira para réplicas do ataque por outros grupos. O CVSS classifica a complexidade de ataque como alta (AC:H), o que indica que montar o artefato de spoofing convincente não é banal, mesmo que a técnica em si já seja conhecida e documentada.

O resultado final, se a vítima interage, é o atacante conseguir fazer o sistema tratar conteúdo malicioso como confiável ou de outro tipo — abrindo caminho para engano subsequente (ex.: o usuário acreditando estar abrindo um arquivo legítimo). O CVSS marca impacto alto em confidencialidade, integridade e disponibilidade, refletindo o que pode ser encadeado a partir do spoofing, não uma execução de código garantida pela falha isolada.

A correção é a atualização de segurança da Microsoft do ciclo de julho de 2024, que cobre as versões de Windows 10 e Windows 11 listadas no advisory. Os identificadores exatos de KB/build por versão de Windows constam no Microsoft Security Response Center (MSRC) para esta CVE; não há, nas fontes consultadas aqui, números de build específicos a citar — verifique o Update Guide da Microsoft para a build exata do seu ramo antes de considerar corrigido.

A CISA, no catálogo KEV, orienta genericamente 'aplicar mitigações conforme instruções do fornecedor ou descontinuar o uso do produto se não houver mitigação disponível' — ou seja, não há um controle compensatório específico documentado (como uma flag de registro) além do patch. Como a exploração depende de interação do usuário, treinamento e filtragem de anexos/links suspeitos (particularmente arquivos .url e atalhos de internet) reduz a superfície, mas não substitui o patch.

Não existe mitigação de configuração conhecida que neutralize a falha sem a atualização — dado que o componente MSHTML permanece parte do sistema operacional independente do uso do Internet Explorer como navegador principal, desativar o IE ou definir outro navegador como padrão não elimina a exposição por si só.

Não há assinatura ou indicador de comprometimento público e confiável específico para esta CVE nas fontes consultadas. Como sinal geral, vale monitorar o recebimento de arquivos de atalho de internet (.url) ou links que forcem a abertura via componentes legados do Internet Explorer (mshtml.dll) em contextos de e-mail ou download, e processos que invoquem iexplore.exe ou mshtml.dll a partir de aplicativos que normalmente não o fariam — mas isso é heurística geral de defesa contra spoofing via MSHTML, não uma detecção validada especificamente para CVE-2024-38112.