CVE-2014-1776

Falha use-after-free no mecanismo de renderização do Internet Explorer (versões 6 a 11), na função CMarkup::IsConnectedToPrimaryMarkup, que permite execução remota de código bastando a vítima visualizar uma página HTML maliciosa. Foi explorada ativamente em campanhas direcionadas (a chamada 'Operation Clandestine Fox') antes da divulgação pública, e a Microsoft chegou a estender o patch para o Windows XP mesmo após o fim de suporte — sinal da gravidade percebida.

A vulnerabilidade é um use-after-free (CWE-416) no manuseio de objetos de markup do IE. A função CMarkup::IsConnectedToPrimaryMarkup referencia um objeto que já foi liberado da memória em cenários específicos de manipulação do DOM, permitindo que um atacante controle o conteúdo realocado nessa região e sequestre o fluxo de execução. O atacante não controla diretamente a função vulnerável, mas controla o HTML/JavaScript que dispara a sequência de criação, liberação e reuso do objeto de markup — o clássico padrão de exploração de UAF em engines de renderização baseadas em COM.

A análise pública inicial apontou o componente VGX.DLL (responsável por VML — Vector Markup Language) como o vetor, e por isso as primeiras recomendações de mitigação giraram em torno dele. A própria Microsoft corrigiu essa percepção depois: VGX.DLL não contém o código vulnerável. O componente aparece nos exploits observados apenas porque é usado como ferramenta para viabilizar o ataque (heap grooming/leitura de memória via VML), não porque hospeda a falha. Isso é relevante porque desregistrar a DLL bloqueia os exploits conhecidos daquele momento, mas não fecha a vulnerabilidade real.

O uso combinado com o Adobe Flash Player, citado pela primeira análise (CERT/CC VU#222929), tampouco indica uma falha no Flash: como o Flash roda no mesmo espaço de processo do IE, os exploits observados o usaram para vazar endereços de memória e contornar o ASLR, uma técnica de exploração e não uma segunda vulnerabilidade. A correção da Microsoft (MS14-021) atua no próprio IE, ajustando como objetos são tratados em memória — não há patch de terceiros envolvido no mecanismo raiz.

O vetor é a Web: a vítima precisa visualizar uma página HTML especialmente criada (ou um e-mail/anexo HTML) em uma versão vulnerável do IE. Não há necessidade de autenticação nem de configuração não padrão — CVSS AV:N/AC:L/PR:N/UI:N reflete isso corretamente, exceto pela exigência de interação do usuário (abrir a página), que na prática é trivialmente obtida via engenharia social ou watering hole.

A exploração observada em abril de 2014 (FireEye, campanha 'Operation Clandestine Fox') combinou o UAF com um componente Flash para vazamento de memória e bypass de ASLR, e usou VML/VGX.DLL como parte da cadeia técnica para preparar o heap. Isso não significa que a exploração dependa estritamente de Flash ou de VGX.DLL — a CERT/CC observou explicitamente que 'exploitation without the use of Flash may be possible' — apenas que os exploits capturados na natureza usaram esses componentes como facilitadores.

Ao conseguir êxito, o atacante executa código arbitrário com os privilégios do usuário que está executando o IE; contas com privilégios administrativos sofrem impacto maior. O CVE está no catálogo KEV da CISA por exploração confirmada em campanha real antes da correção estar disponível — configuração clássica de zero-day usado contra alvos direcionados, incluindo, segundo a FireEye, sistemas Windows XP.

A correção definitiva é aplicar a atualização da Microsoft Security Bulletin MS14-021 (KB2965111), que cobre IE 6, 7, 8, 9, 10 e 11 nas plataformas Windows suportadas na época, incluindo — excepcionalmente — Windows XP, mesmo após o fim do ciclo de suporte regular daquele sistema. Não há versão de software com número de build específico do IE listada como 'corrigida'; a correção é distribuída via Windows Update/KB, então o critério de verificação é a instalação do KB2965111 correspondente à versão do IE e do Windows.

Se a atualização não puder ser aplicada imediatamente, a Microsoft e a CERT/CC recomendaram dois paliativos: usar o Enhanced Mitigation Experience Toolkit (EMET), que reduz a chance de exploração bem-sucedida (com eficácia menor em plataformas sem ASLR, como Windows XP e Server 2003); e desregistrar a VGX.DLL via regsvr32 /u, tanto no caminho de 32 bits quanto no de 64 bits. É crucial entender o limite dessa segunda medida: como a própria Microsoft esclareceu, VGX.DLL não contém a falha — desregistrá-la bloqueia especificamente os exploits que dependiam de VML/VGX naquele momento, sem eliminar a vulnerabilidade subjacente. Qualquer variante de exploit que não use VGX.DLL continuaria funcional. O custo do workaround é a perda de renderização de VML, com pouquíssimo impacto prático hoje.

O mito a evitar: tratar a desregistragem da VGX.DLL como 'a correção'. É um workaround exploit-specific, não um patch. Da mesma forma, desabilitar o Flash Player reduz a superfície de uma técnica de exploração observada (bypass de ASLR), mas não corrige o use-after-free do IE.

Não há assinatura de rede ou padrão de log universalmente confiável para esta falha específica sem contexto de exploit — o vetor é HTML/JavaScript malicioso servido por página web, então o sinal mais direto é telemetria de endpoint/EDR mostrando iexplore.exe gerando processos filho inesperados, injeção de código ou crashes de memória (falhas de acesso) associados ao mshtml.dll/vgx.dll no momento da navegação. Em nível de proxy/rede, indicadores de comprometimento associados à campanha 'Operation Clandestine Fox' (domínios e payloads documentados pela FireEye) são específicos daquela onda de ataques de 2014 e não cobrem variantes possíveis do exploit.

A ausência de VGX.DLL carregado durante a navegação não é evidência de que o sistema não foi alvo — apenas indica que aquele exploit específico não pôde rodar. Verificar a presença do KB2965111 instalado é o método mais confiável para saber se o sistema está protegido, não para saber se foi explorado no passado.