CVE-2013-2551

Vulnerabilidade use-after-free no Internet Explorer 6 a 10 que permite execução remota de código quando o usuário visita uma página maliciosa. Foi demonstrada publicamente por pesquisadores da VUPEN durante a competição Pwn2Own no CanSecWest 2013, corrigida pela Microsoft em maio de 2013 e posteriormente incluída no catálogo KEV da CISA por evidência de exploração ativa — mesmo sendo uma falha de mais de uma década, ainda serve como referência de padrão de exploração de UAF em navegadores legados.

A falha é um use-after-free (CWE-416) no motor de renderização do Internet Explorer: um objeto é liberado da memória mas o navegador mantém uma referência a ele e a acessa posteriormente, tratando memória já realocada como se ainda contivesse o objeto original. O advisory da Microsoft (MS13-037) descreve a correção como uma mudança em 'como o Internet Explorer autoriza acesso de script a dados e trata objetos na memória', o que indica que o gatilho envolve manipulação via script (JavaScript/DOM) que força a liberação de um objeto enquanto uma referência a ele ainda está em uso em outro contexto de execução.

O atacante controla o conteúdo da página web — HTML e script — que induz o navegador a desalocar um objeto e depois reutilizá-lo. Como a memória liberada pode ser realocada e preenchida com dados controlados pelo atacante (heap grooming/spraying), o acesso ao objeto 'morto' passa a operar sobre dados arbitrários, o que na prática de exploração de UAF costuma levar a corrupção de vtable ou de ponteiros de função, viabilizando execução de código.

O boletim MS13-037 é cumulativo e corrige onze vulnerabilidades diferentes reportadas de forma privada no IE; a Microsoft não detalha publicamente o componente exato ou a classe de objeto DOM envolvida nesta CVE específica, além de confirmar que é distinta de CVE-2013-1308 e CVE-2013-1309, tratadas no mesmo boletim.

A severidade agregada varia por sistema operacional: crítica em Windows client (XP a 7, e Vista/7 com IE9) e apenas moderada em Windows Server, refletindo o uso menos exposto do IE em servidores e mitigações padrão do Server (como o Enhanced Security Configuration) que reduzem o impacto prático mesmo sem corrigir a falha em si.

O vetor é puramente client-side: o atacante hospeda ou injeta conteúdo em uma página web e depende de interação do usuário (abrir o link no IE vulnerável) — não há exploração remota sem essa ação, o que o vetor CVSS (AV:N/UI:R) já reflete. Não é necessária autenticação nem configuração não padrão do IE; a exposição depende apenas da versão do navegador (6 a 10) e do sistema operacional em uso.

A demonstração original foi feita pela equipe VUPEN no Pwn2Own 2013 (CanSecWest), contexto de pesquisa controlada, não de campanha maliciosa. A inclusão no catálogo KEV da CISA em 2022 — quase uma década após a divulgação — indica que a vulnerabilidade foi posteriormente observada em exploração ativa fora desse contexto controlado, embora as fontes disponíveis não detalhem a campanha ou o ator responsável por essa exploração tardia.

O resultado da exploração bem-sucedida é execução de código arbitrário no contexto do usuário que executa o IE; contas com privilégios administrativos sofrem impacto maior, já que o processo do navegador herda essas permissões. A existência de módulo Metasploit e PoC pública reduz a barreira técnica para reprodução do ataque, tornando qualquer instalação sem patch um alvo de baixo esforço para quem já tem o exploit em mãos.

A correção oficial é aplicar o boletim MS13-037 (KB2829530), disponível desde 14 de maio de 2013, que atualiza o Internet Explorer nas versões 6 a 10 nos sistemas operacionais suportados na época (Windows XP SP3, Windows Server 2003 SP2, Windows Vista SP2, Windows Server 2008 SP2, Windows 7 SP1, Windows Server 2008 R2 SP1, entre outros listados no boletim). Ambientes ainda vivos com Windows XP, Server 2003 ou versões do IE anteriores ao suporte estendido não recebem mais patches da Microsoft para essa família de CVEs, e nesse caso a mitigação real passa a ser isolamento de rede, bloqueio de navegação a sites não confiáveis ou substituição do navegador por um suportado.

Como paliativo, ambientes corporativos podem reduzir exposição habilitando o Enhanced Security Configuration do IE (padrão em Windows Server), restringindo execução de scripts em zonas não confiáveis, ou usando EMET (quando ainda suportado) para dificultar a exploração de UAF via ASLR/heap protections — isso não corrige a falha, apenas eleva o custo de exploração.

Não funciona como mitigação apenas desabilitar JavaScript parcialmente ou confiar em filtros de reputação de URL: como o vetor é conteúdo web arbitrário e a falha está na engine de renderização, qualquer site comprometido ou anúncio malicioso que sirva o payload contorna esse tipo de controle. A única mitigação estrutural completa, dado que o IE nessas versões está fora de suporte, é remover o uso do IE como navegador ativo no ambiente.

Não há assinatura de rede confiável e específica para esta CVE nas fontes disponíveis — a exploração ocorre inteiramente no lado cliente, dentro do processo do IE, via script que manipula objetos DOM até provocar o use-after-free, sem payload de rede distintivo antes da entrega da página maliciosa. Na ausência de indicadores de tráfego, os sinais mais úteis são: acesso a URLs ou domínios associados a kits de exploração da época, crashes ou eventos de erro do processo iexplore.exe registrados no Event Viewer do Windows, e telemetria de EDR que capture execução de shellcode ou processos filhos anômalos gerados a partir do IE. A presença de módulo Metasploit conhecido também permite testes de detecção em ambiente controlado usando IDS/IPS com assinaturas específicas desse módulo, caso o produto de segurança em uso as forneça.