CVE-2011-0609

Falha de corrupção de memória não especificada no Adobe Flash Player (Windows, Mac, Linux, Solaris e Android), no Adobe AIR e no componente Authplay.dll/AuthPlayLib.bundle embutido no Adobe Reader e Acrobat, explorada ativamente in-the-wild desde março de 2011 antes de existir patch. O vetor de destaque foi um arquivo SWF malicioso embutido em uma planilha do Excel, usado em ataques direcionados via e-mail — não um bug de servidor exposto na rede.

A vulnerabilidade é descrita pelo fornecedor apenas como corrupção de memória em conteúdo Flash malformado; nem a Adobe nem o CERT/CC publicaram detalhes sobre a rotina exata do parser SWF ou o tipo de operação (overflow, uso de ponteiro inválido etc.) que dispara a falha. O que se sabe com certeza é o alcance: o mesmo código de runtime Flash é reutilizado em múltiplos produtos — Flash Player standalone, o plugin embutido no Chrome, Flash Player para Android, Adobe AIR e o componente Authplay.dll (Windows/Mac) que o Reader e o Acrobat carregam para renderizar SWF dentro de PDFs. Isso significa que uma única falha no parser abre superfície de ataque em navegador, leitor de PDF e runtime mobile simultaneamente, e que atualizar o Flash Player do navegador não corrige a cópia do componente usada pelo Reader/Acrobat — são binários distintos que precisam de patches separados.

O controle do atacante está no conteúdo do arquivo SWF: campos, tags ou estruturas do formato Flash manipuladas para levar o parser a um estado inválido de memória, resultando em crash (DoS) ou, com engenharia adicional de exploit, em execução de código arbitrário no contexto do processo que renderiza o Flash (navegador, plugin ou Reader).

O CVSS 3.1 retroativo do NVD (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) marca vetor de ataque como Local, o que é uma peculiaridade da reclassificação tardia de CVEs antigas — na prática, a entrega é remota (web, e-mail, documento), mas a execução ocorre localmente na máquina da vítima após interação do usuário (abrir o arquivo ou visitar a página).

A exploração documentada em março de 2011 usou um arquivo .swf malicioso embutido dentro de uma planilha Excel, distribuído provavelmente por e-mail em ataques direcionados — a vítima precisa abrir o documento (ou visitar uma página com o SWF embutido) para o parser vulnerável processar o conteúdo malformado. Não há necessidade de autenticação nem de configuração não padrão: o requisito real é interação do usuário (abrir arquivo/visitar site) com um produto vulnerável instalado, o que é o cenário padrão em ambientes corporativos com Office, Reader e navegadores com Flash habilitado.

Como o Authplay.dll é compartilhado pelo Reader e Acrobat, o mesmo exploit SWF funciona tanto embutido em página web (ataque via navegador) quanto embutido em PDF ou em documento Office que referencia conteúdo Flash (ataque via e-mail/documento) — ampliando bastante os vetores de entrega para o mesmo bug.

A CVE está no catálogo KEV da CISA (exploração confirmada) e existe módulo Metasploit público, além de PoC disponível, o que reduz a barreira para reprodução mesmo por atores menos sofisticados hoje. No momento da descoberta, porém, tratava-se de exploração zero-day usada por atacante(s) com acesso a exploit funcional antes da Adobe ter patch disponível — daí a resposta de emergência via APSA11-01 antes do bulletin definitivo APSB11-05.

A correção definitiva é atualizar: Flash Player para 10.2.153.1 (Windows, Mac, Linux, Solaris); Flash Player para Android para 10.2.156.12; Adobe Reader X para 10.0.2 (que já inclui o Flash corrigido); Google Chrome para 10.0.648.134 (bundla o Flash corrigido). A Adobe tratou o caso em duas etapas: primeiro o advisory de emergência APSA11-01 com workarounds, depois o bulletin definitivo APSB11-05 com os binários corrigidos — para os ramos 9.x/10.x do Reader/Acrobat fora do Reader X, consulte o bulletin da Adobe para a versão exata de correção do seu ramo, pois as fontes consultadas não especificam esse número.

Se a atualização não for imediata, os paliativos reais (documentados pelo CERT/CC) são: desabilitar o plugin Flash no navegador ou removê-lo via as ferramentas de desinstalação da Adobe (mitiga o vetor via web, mas não remove a cópia usada pelo Reader); e, no Reader/Acrobat, remover ou renomear authplay.dll e rt3d.dll (Windows), AuthPlayLib.bundle e Adobe3D.framework (Mac), ou os .so equivalentes (Linux — note que a Adobe afirmou que o Linux não é afetado por essa CVE específica no componente authplay, mas a remoção é oferecida como mitigação proativa). O custo é perda de renderização de Flash e conteúdo 3D/multimídia dentro de PDFs.

O que NÃO resolve a vulnerabilidade: desabilitar JavaScript no Reader mitiga apenas técnicas que dependem de JS para acionar o exploit, não corrige o componente Flash vulnerável; desabilitar o suporte a 3D/Multimídia não elimina a falha, apenas troca o crash por uma mensagem de erro mais amigável. DEP (Data Execution Prevention) no Windows reduz a chance de execução de código em alguns casos, mas não é mitigação completa e deve ser combinado com o patch, não substituí-lo.

Não há assinatura de rede confiável e amplamente documentada para essa CVE especificamente — a exploração observada em 2011 foi via e-mail direcionado com anexo Office contendo SWF embutido, então o sinal mais prático fica no nível de e-mail/endpoint: gateways de e-mail ou sandboxes que identifiquem arquivos .xls/.xlsx com objetos SWF ou OLE embutidos incomuns, e logs de crash do Flash Player/plugin/Reader (falhas em authplay.dll, apagamentos ou exceções no processo do navegador/plugin) correlacionados com abertura de documento suspeito.

Como existe módulo Metasploit público, ambientes com IDS/IPS podem ter assinaturas genéricas para SWF malformado ou para o payload gerado pelo módulo, mas nenhuma fonte consultada aqui fornece um indicador de comprometimento específico (hash, string, padrão de tráfego) validado para esta CVE — trate a ausência de alerta como não conclusiva, não como ausência de exploração.