CVE-2010-0806

Use-after-free no componente Peer Objects (iepeers.dll) do Internet Explorer 6, 6 SP1 e 7, explorada ativamente em ataques direcionados desde março de 2010, antes da correção existir — foi um 0-day. Permite execução remota de código com os privilégios do usuário que abre uma página HTML ou documento Office malicioso; não afeta IE8, Windows 7 nem Windows Server 2008 R2, o que reduz bastante o universo real de exposição hoje, mas era crítico no parque de máquinas Windows XP/Vista da época.

A falha é um CWE-416 (use-after-free) clássico: o iepeers.dll libera um objeto (o CERT/CC descreve o componente como usado no suporte a Web Folders e impressão dentro do IE) e, em determinado fluxo de execução, o código volta a acessar esse objeto através de um ponteiro que já não é válido — o ponteiro não foi zerado ou reatribuído após a liberação. O atacante controla o conteúdo da página (HTML/script) e consegue forçar essa sequência de liberação seguida de reuso.

A técnica de exploração típica da época para esse tipo de bug era heap spray: o atacante aloca, via JavaScript, um grande número de objetos controlados na heap para que, quando a memória liberada for reciclada pelo alocador, ela contenha dados escolhidos pelo atacante no lugar exato onde o ponteiro obsoleto será desreferenciado. Se esse ponteiro aponta para uma vtable ou função de callback, o atacante substitui o alvo da chamada e desvia o fluxo de execução para código próprio (shellcode) já posicionado na heap.

A descrição oficial da Microsoft chama o problema de 'Uninitialized Memory Corruption Vulnerability', mas o mecanismo tecnicamente relatado por múltiplas fontes (CERT/CC, NVD) é use-after-free — a memória não estava simplesmente não inicializada, estava liberada e reutilizada com conteúdo hostil.

O vetor é uma página HTML especialmente criada (ou um documento do Microsoft Office que embute renderização via IE) hospedada em site controlado pelo atacante ou injetada em site legítimo comprometido. Não há necessidade de autenticação — basta a vítima visitar a página ou abrir o documento com IE6/6SP1/7 instalado (UI:R no vetor CVSS reflete exatamente essa exigência de interação). Não há pré-condição de configuração especial: o comportamento vulnerável está no tratamento padrão de objetos pelo iepeers.dll.

A CISA classifica esta CVE no catálogo KEV com exploração confirmada; o Security Advisory da Microsoft (981374) já registrava exploração in-the-wild em março de 2010, antes da correção via MS10-018, tornando-a um 0-day explorado ativamente. Existe módulo público no Metasploit e PoC pública, o que baixou a barreira técnica para replicar o ataque depois da divulgação.

O resultado final, quando bem-sucedido, é execução arbitrária de código com os privilégios do usuário logado — em máquinas onde o usuário operava como administrador (comum em XP da época), isso equivale a comprometimento total do host. Em contas com privilégios restritos, o impacto é limitado a esses privilégios, mas ainda inclui execução de código.

A correção oficial é a atualização cumulativa do Internet Explorer distribuída pelo boletim MS10-018 (KB980182, publicado em 30/03/2010), que altera a forma como o IE gerencia objetos em memória. A Microsoft afirma explicitamente que essa CVE não afeta Windows 7, Windows Server 2008 R2 nem Internet Explorer 8 — ou seja, atualizar para IE8+ em qualquer sistema suportado já elimina o problema, independentemente do patch específico.

Se a atualização não pode ser aplicada imediatamente, o CERT/CC lista paliativos parciais, nenhum deles suficiente isoladamente: habilitar DEP (Data Execution Prevention) para o IE reduz a chance de execução de shellcode, mas não é workaround completo; definir a zona de segurança 'Internet' como 'Alta' força prompt antes de executar ActiveX e Active Scripting, reduzindo vetores de heap spray via JavaScript; desabilitar Active Scripting inteiramente bloqueia a exploração conhecida, ao custo de quebrar boa parte da usabilidade de páginas modernas.

O mito a descartar: nenhum desses controles substitui o patch — DEP e zona de segurança mitigam a probabilidade de exploração bem-sucedida, não corrigem o use-after-free em si. Como IE6/6SP1/7 e os sistemas operacionais associados (Windows XP, Windows Vista, Windows Server 2003) estão fora de suporte há anos, a mitigação estrutural real hoje é a ausência desses componentes no ambiente — não há motivo legítimo para mantê-los em produção.

As fontes disponíveis não fornecem assinaturas, IOCs ou padrões de tráfego específicos para esta CVE — os registros de exploração in-the-wild de março de 2010 mencionados pela Microsoft e pelo CERT/CC não detalham indicadores de rede ou de log reutilizáveis hoje. Na ausência de IOC documentado, o sinal genérico esperado seria conteúdo JavaScript de heap spray (grande volume de alocações repetitivas) em páginas servidas a navegadores IE6/7 antigos, mas isso não constitui detecção confiável específica desta falha; é mais relevante identificar a mera presença de IE6/6SP1/7 sem o patch MS10-018 no ambiente do que tentar detectar exploração retroativamente.