CVE-2013-3897

Vulnerabilidade de use-after-free na classe CDisplayPointer do mshtml.dll, o motor de renderização do Internet Explorer, explorável via JavaScript malicioso embutido em página web. Foi usada em ataques direcionados (watering hole) em setembro e outubro de 2013 antes da correção estar disponível, o que a torna uma das CVEs zero-day mais conhecidas do IE clássico. Hoje seu risco prático é baixo — depende de rodar IE 6 a 11 sem patch, cenário raro fora de sistemas legados isolados — mas seu valor histórico e didático em análise de exploração de UAF em navegadores é alto.

A falha é um use-after-free (CWE-416, classificado pela CISA como CWE-399/resource management) no manuseio de objetos CDisplayPointer pelo mshtml.dll. Esse componente controla ponteiros de exibição usados no modelo de renderização e layout de páginas do IE. O gatilho envolve o event handler onpropertychange: código JavaScript manipula uma propriedade de um elemento de forma que, durante o processamento do evento, um objeto CDisplayPointer é liberado (freed) mas uma referência a ele permanece acessível e é reutilizada posteriormente.

O vetor é uma página HTML/JavaScript especialmente construída que a vítima precisa visitar — não há exploração remota sem interação do usuário (UI:R no vetor CVSS), o que geralmente ocorre via link em e-mail, comprometimento de site legítimo (watering hole) ou anúncio malicioso. Ao acionar o onpropertychange no timing certo, o atacante manipula o heap para que a memória liberada seja realocada com conteúdo controlado, obtendo execução de código arbitrário no contexto do usuário que executa o IE — sem necessidade de autenticação ou configuração especial além do navegador vulnerável estar em uso.

A correção oficial é o boletim MS13-080 (KB2879017 para IE 6 a 10; KB2884101 para IE 11 em Windows 8.1/RT 8.1/Server 2012 R2), que altera a forma como o Internet Explorer trata objetos em memória. Não há paliativo de configuração documentado pela Microsoft que neutralize especificamente esta falha; a mitigação real e única confirmada é aplicar o update cumulativo do IE. Como o Internet Explorer legado (6-11) está fora de suporte, o controle compensatório efetivo em ambientes que ainda dependem dele é isolamento de rede, bloqueio de execução do binário ou migração para um navegador com suporte ativo — atualizar via Windows Update deixou de ser opção viável para essas versões há anos.

Não há assinatura de rede confiável e específica publicada para esta CVE isoladamente — a exploração ocorre via JavaScript embutido em página HTML, dificultando detecção por padrão estático. Sinais indiretos incluem: processo iexplore.exe gerando processos filho inesperados (shell, downloaders), crashes do mshtml.dll em logs de eventos do Windows, e telemetria de EDR mostrando corrupção de memória ou técnicas de heap spraying associadas a exploits de UAF em IE da época; como a exploração foi documentada em campanhas de 2013 (watering hole), IOCs específicos de domínios e payloads daquele período podem constar em relatórios de resposta a incidentes contemporâneos, não reproduzidos aqui por falta de fonte primária consultada.