CVE-2011-0611
Patch now. It under exploitation confirmed by CISA, has a working public exploit and 2 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
The impacted product is end-of-life and should be disconnected if still in use.
Summary
Falha de corrupção de memória no Flash Player (e no runtime Flash embutido no Reader/Acrobat via Authplay.dll) que permite execução de código ao processar um SWF malicioso. Explorada como zero-day em abril de 2011 em ataques direcionados via documentos do Office (.doc/.xls) com SWF embutido enviados por e-mail, atingindo alvos de política/antitruste e temas geopolíticos. Importa porque não depende de nenhuma configuração exótica — só de abrir um documento ou visitar uma página com Flash — e já tinha exploração ativa e código público antes mesmo do patch estar disponível.
Technical detail
A causa raiz é confusão de tipos (type confusion, CWE-843) no parser de ActionScript do Flash Player. O SWF malicioso declara um 'group of included constants' (pool de constantes) cujo tamanho declarado não corresponde ao tamanho calculado durante o parsing da tag DOACTION — o disassembler da BugiX documentou isso literalmente: 'Declared constant pool length 21 differs from calculated length 20'. Essa inconsistência de tamanho é usada para forçar o interpretador a tratar um objeto de um tipo como se fosse de outro.
O exploit observado usa ActionScript que adiciona funções customizadas a prototypes de objetos nativos e manipula objetos Date — técnica usada para conseguir controle preciso sobre alocação e desalocação de objetos na heap do Flash, preparando o terreno para a corrupção de memória disparada pela confusão de tipos. Antes disso, um heap spray com NOP-sled no padrão 0x11111111 preenche a heap para garantir que o endereço corrompido aponte para memória controlada pelo atacante, redirecionando o fluxo de execução.
O mesmo bug afeta qualquer processo que carregue o runtime Flash: o plugin de navegador (NPSWF32.dll no Windows) e a biblioteca Authplay.dll/AuthPlayLib.bundle usada pelo Adobe Reader e Acrobat para renderizar SWF embutido em PDF. Atualizar o Flash Player do navegador não corrige a cópia interna do Reader/Acrobat, e vice-versa — são binários distintos que precisam de patches separados.
Segundo a Adobe, a variante Linux do Authplay não é afetada por esta falha específica, embora a mitigação de desabilitar o componente tenha sido recomendada por precaução.
How it’s exploited
O vetor observado em abril de 2011 foi e-mail com anexo .doc ou .xls do Microsoft Office contendo um objeto SWF embutido (contagiodump documentou pelo menos sete amostras distintas, com nomes como 'Disentangling Industrial Policy and Competition Policy.doc' e 'Japan Nuclear Weapons Program.doc', usados em ataques direcionados a indivíduos ligados a política antitruste e temas nucleares). A vítima só precisa abrir o documento no Word/Excel para o Authplay.dll ser invocado e processar o SWF malicioso — não há necessidade de macro, JavaScript habilitado ou qualquer configuração não padrão do Office.
O exploit funciona em dois estágios: um primeiro SWF pequeno faz o heap spray; ele carrega um segundo SWF que contém a tag DOACTION malformada explorando a inconsistência do pool de constantes. Esse padrão two-stage é o que aparece na análise da BugiX e no relatório técnico da Microsoft (MMPC). A shellcode observada em algumas amostras chega a executar `taskkill /im hwp.exe`, sugerindo alvo específico em ambiente com o processador de texto sul-coreano Hangul (HWP), o que indica uma campanha direcionada e não oportunista em massa.
O mesmo bug é explorável via navegador (SWF hospedado em página web) sem interação além de visitar o site, o que amplia a superfície além de e-mail. Existe módulo Metasploit e PoC pública, reduzindo a barreira técnica para replicar o exploit fora do contexto original de espionagem direcionada — daí a listagem no catálogo KEV da CISA e o EPSS praticamente máximo (0.994).
Versions
How to protect
Correção definitiva: atualizar Flash Player para 10.2.159.1 (Windows, Mac, Linux, Solaris — via APSB11-07) e a versão Android correspondente; atualizar Adobe AIR para 2.6.19140; e atualizar Adobe Reader/Acrobat para 9.4.4 (ramo 9.x) ou 10.0.3 (ramo 10.x, via APSB11-08), que trazem runtime Flash corrigido embutido. Atualizar apenas o plugin de navegador não corrige o Reader/Acrobat, e vice-versa — são componentes Authplay.dll separados que exigem patch próprio.
Se a atualização não for possível de imediato, o paliativo real e documentado pela Adobe/CERT é remover ou renomear o componente Flash embutido no Reader: authplay.dll e rt3d.dll no Windows (%ProgramFiles%\Adobe\Reader 9.0\Reader\), AuthPlayLib.bundle e Adobe3D.framework no Mac OS X, e as libs equivalentes no Linux. Isso neutraliza o vetor via PDF, mas não protege contra SWF entregue por navegador — para isso, desabilitar o plugin Flash no navegador ou removê-lo via as ferramentas de desinstalação da Adobe é o controle equivalente. Nenhuma dessas ações corrige a vulnerabilidade em si; apenas eliminam o componente vulnerável do caminho de ataque, com custo de perda de funcionalidade (Flash e 3D/multimídia dentro de PDFs deixam de funcionar).
Controles compensatórios adicionais citados pelo CERT: habilitar DEP no Windows e usar o Microsoft EMET (mitigação genérica de exploração de memória, não resolve o bug), desabilitar a abertura automática de PDF no Internet Explorer e desmarcar 'Display PDF in browser' no Reader para reduzir superfície. Nenhum desses substitui o patch — são redutores de impacto enquanto o patch não é aplicado.
How to detect
Em nível de e-mail/gateway: anexos .doc/.docx/.xls/.xlsx contendo objetos OLE com stream SWF embutido são o indicador mais direto — soluções de análise de documento que extraem e inspecionam objetos incorporados podem sinalizar a presença de tag SWF dentro de arquivos do Office, o que é atípico em documentos legítimos. Em nível de endpoint: crash do NPSWF32.dll, Authplay.dll ou do processo do Reader/Acrobat imediatamente após abertura de documento, especialmente com padrões de heap spray reconhecíveis (blocos de memória preenchidos com o padrão 0x11111111 identificado na análise da BugiX), é sinal forte de tentativa de exploração — mas exige memory forensics ou EDR com essa capacidade, não é visível em log padrão.
Não há assinatura de rede confiável e genérica, já que o SWF malicioso pode ser entregue por e-mail (anexo) ou por HTTP (SWF hospedado); IDS baseados em heurística para tags SWF malformadas (DOACTION com pool de constantes inconsistente) existiam em produtos de segurança da época, mas não há um IOC de rede único documentado nas fontes consultadas.