CVE-2012-2034

Falha de corrupção de memória no Adobe Flash Player e Adobe AIR que permite execução arbitrária de código ou negação de serviço através de um arquivo SWF malicioso. Afeta Windows, Mac, Linux e Android, e foi corrigida junto com outras cinco CVEs no boletim APSB12-14 de junho de 2012. Está no catálogo KEV da CISA desde 2022, mas a ação recomendada não é aplicar patch — é desconectar o produto, porque o Flash Player está em fim de vida.

A Adobe classificou a causa como 'memory corruption' via 'vetores não especificados' (CWE-119, escrita ou leitura fora dos limites de um buffer), sem detalhar em qual módulo do parser SWF ou ActionScript a falha reside. Esse nível de opacidade era padrão nos boletins da Adobe da época — o advisory APSB12-14 lista seis CVEs de corrupção de memória e uma de divulgação de informação (CVE-2012-2038) sem diferenciar o componente afetado por cada uma.

O NVD e o próprio texto da CVE fazem apenas uma ressalva útil: esta falha é distinta da CVE-2012-2037, corrigida no mesmo lote. Isso indica que são bugs de memória independentes, não a mesma raiz explorada por dois vetores.

O vetor CVSS 3.1 registrado (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H) aponta ataque remoto, sem necessidade de privilégio, mas com alta complexidade de ataque e exigência de interação do usuário — consistente com o padrão de exploração de Flash da época: o SWF malicioso precisa ser carregado pela vítima, e converter a corrupção de memória em execução de código confiável normalmente exigia técnicas de heap grooming e bypass de proteções como DEP/ASLR, daí o AC:H.

O vetor de entrega é um arquivo SWF malicioso, embutido em página web, documento (como .doc/.xls com Flash incorporado) ou anúncio, carregado pelo plugin do navegador ou pelo runtime standalone/Android. A vítima precisa abrir o conteúdo — não há exploração sem interação do usuário. Não há pré-condição de autenticação ou configuração especial: qualquer instalação vulnerável do plugin, em qualquer sistema operacional listado, está exposta ao simples fato de renderizar o SWF.

As fontes disponíveis não trazem PoC, writeup técnico ou detalhes de campanha específica atribuída a esta CVE isoladamente — ela foi corrigida em lote com outras cinco falhas de corrupção de memória do mesmo boletim, e a exploração histórica de Flash da época costumava atacar esse conjunto sem distinção pública de qual CVE exata foi usada em qual incidente.

A CISA incluiu a CVE-2012-2034 no catálogo KEV em 28/03/2022 — dez anos após a publicação — o que reflete o processo de retroalimentação do catálogo com vulnerabilidades de exploração histórica confirmada, não necessariamente uma onda de exploração ativa em 2022. O EPSS de 0,078 (baixa probabilidade de exploração nos próximos 30 dias) é coerente com isso: o risco relevante hoje é presença residual do software, não uma campanha corrente.

A correção original é atualizar para Flash Player 10.3.183.20 ou 11.3.300.257 (Windows/Mac), 11.2.202.236 (Linux), 11.1.111.10 (Android 2.x/3.x), 11.1.115.9 (Android 4.x), ou Adobe AIR 3.3.0.3610 — conforme listado no boletim APSB12-14 e replicado por distribuições Linux (RHSA-2012:0722, openSUSE) na época.

Esses números perderam relevância prática: a Adobe descontinuou o Flash Player globalmente em 31/12/2020 e não emite mais atualizações de segurança. A ação da CISA no catálogo KEV para esta CVE é explícita — 'o produto impactado está em fim de vida e deve ser desconectado se ainda em uso'. Atualizar para a última versão listada no boletim de 2012 não elimina o risco de outras dezenas de CVEs subsequentes não corrigidas; a única mitigação real hoje é remover o Flash Player e o Adobe AIR do ambiente, bloquear a execução de conteúdo SWF no navegador/proxy, e auditar sistemas legados (industriais, embarcados, Android antigo) que ainda dependam dele.

Não funciona como mitigação: manter versões antigas 'isoladas' por VLAN ou desabilitar apenas o plugin no navegador padrão sem remover o runtime — instalações standalone, plugins de terceiros e apps Android que empacotam o runtime continuam expostos.

As fontes disponíveis não registram assinatura de rede, IOC ou padrão de log associado especificamente a esta CVE — o boletim da Adobe e os advisories de distribuição tratam o lote de seis vulnerabilidades de forma agregada, sem indicadores de comprometimento publicados. Na prática, qualquer detecção teria que se basear em heurísticas genéricas de SWF malicioso (arquivos SWF anômalos, crashes do processo do plugin Flash, ou telemetria de EDR indicando execução de código a partir do processo do navegador/plugin), não em uma assinatura específica desta CVE.