Windows MSHTML Platform Spoofing Vulnerability

Falha de spoofing no MSHTML (motor de renderização legado do Internet Explorer, ainda presente no Windows) que permite a um atacante forjar a representação de informação crítica na interface — como o conteúdo ou origem de uma página/arquivo — para enganar a vítima. Importa porque não foi explorada isoladamente: a CISA confirma que foi usada em conjunto com CVE-2024-38112, formando uma cadeia que força o Windows a abrir conteúdo no motor antigo do IE em vez do Edge, driblando proteções modernas do navegador.

A vulnerabilidade é classificada como CWE-451 (User Interface Misrepresentation of Critical Information): o MSHTML apresenta ao usuário informação que não reflete o estado real do conteúdo ou da origem do que está sendo exibido, permitindo que uma página ou arquivo malicioso se disfarce de algo legítimo. A Microsoft não detalhou publicamente o componente interno exato nem a rotina de renderização afetada — o advisory oficial (MSRC) mantém a descrição enxuta padrão.

O mecanismo geral desse tipo de falha em MSHTML envolve como o motor trata determinados tipos de arquivo ou referências (como atalhos .url) que, em vez de abrir no navegador padrão moderno, invocam o mecanismo legado do IE embutido no sistema — muito menos hardenizado contra técnicas de disfarce de interface. A CISA aponta explicitamente que essa CVE foi explorada junto com CVE-2024-38112, outra falha de spoofing do MSHTML corrigida em julho de 2024, sugerindo que a exploração completa depende de uma cadeia entre as duas falhas, e não de CVE-2024-43461 isolada.

O CVSS 8.8 reflete impacto alto em confidencialidade, integridade e disponibilidade caso a cadeia seja completada, mas o vetor exige interação do usuário (UI:R) — a vítima precisa clicar ou abrir algo. Não há execução remota automática sem essa ação.

Pré-requisito central: interação do usuário. O atacante precisa convencer a vítima a abrir um arquivo ou link malicioso — não há exploração passiva ou sem clique. A cadeia relatada por pesquisadores (associada à campanha conhecida como Void Banshee) usa esse tipo de spoofing para fazer o Windows abrir conteúdo através do motor legado do Internet Explorer em vez do navegador moderno padrão, contornando mitigações que o Edge/Chrome aplicariam normalmente contra arquivos disfarçados.

A CISA confirma exploração ativa no mundo real (por isso a entrada no catálogo KEV) e associa diretamente esta CVE à exploração conjunta com CVE-2024-38112. O status 'Known To Be Used in Ransomware Campaigns' consta como 'Unknown' — não há confirmação de uso específico em ransomware, apenas exploração documentada em geral.

Complexidade de ataque é baixa (AC:L) uma vez que a vítima interaja com o material malicioso; o desafio real do atacante está na engenharia social para induzir esse clique, não em contornar proteções técnicas complexas do sistema.

Aplicar a atualização de segurança da Microsoft para CVE-2024-43461, publicada no Patch Tuesday de setembro de 2024, no sistema Windows correspondente à versão em uso (as builds exatas de cada linha — Windows 10 1507/1607/1809/21H2/22H2, Windows 11 21H2/22H2/22H3 — constam no update guide oficial do MSRC, não reproduzidas aqui por não terem sido confirmadas número a número nas fontes consultadas). Como a exploração relatada depende da cadeia com CVE-2024-38112, garantir que a correção dessa CVE (de julho de 2024) também esteja aplicada é igualmente crítico — corrigir apenas uma das duas pode deixar a cadeia parcialmente viável dependendo do vetor usado.

Não há paliativo de configuração amplamente documentado que substitua o patch: desabilitar o MSHTML por completo não é uma operação suportada sem quebrar funcionalidades legadas do sistema e de aplicações que dependem dele. Como controle compensatório real, restringir ou monitorar a abertura de arquivos de atalho (.url) e anexos que possam invocar o motor de renderização legado reduz a superfície, mas não elimina o risco caso o usuário seja convencido a interagir mesmo assim — a defesa mais eficaz continua sendo o patch mais treinamento contra engenharia social, já que UI:R é o gargalo da exploração.

A CISA fixou prazo de correção (BOD 22-01) em 2024-10-07 para agências federais dos EUA, reforçando a urgência mesmo fora desse escopo regulatório.

Não há assinatura pública de detecção específica e confiável documentada nas fontes consultadas. Como a exploração envolve engenharia social combinada com a cadeia CVE-2024-38112, sinais úteis a investigar são tentativas de abertura de arquivos de atalho (.url) que apontam para conteúdo remoto e invocam o motor legado do Internet Explorer em vez do navegador padrão, além de processos do IE (iexplore.exe) sendo lançados a partir de contextos inesperados (cliente de e-mail, downloads recentes) — mas isso é inferência a partir do padrão geral da cadeia relatada, não uma IOC oficial confirmada pela Microsoft ou CISA para esta CVE isolada.