CVE-2015-0071

Falha no Internet Explorer 9, 10 e 11 que permite a um site malicioso contornar o ASLR (Address Space Layout Randomization), mecanismo de mitigação que dificulta exploração de corrupção de memória. Isoladamente não gera execução de código nem fuga de dados diretamente, mas remove uma barreira de defesa em profundidade — o que na prática eleva a confiabilidade de outros exploits de RCE no mesmo navegador. Está no catálogo KEV da CISA, confirmando exploração em campanhas reais.

A CVE é classificada pela CISA como CWE-264 (permissões/privilégios/controles de acesso mal configurados), categoria que a Microsoft usa para bypass de proteções de memória. O boletim MS15-009 descreve o problema como falha na forma como versões afetadas do Internet Explorer implementam o recurso de segurança ASLR — ou seja, alguma rotina do motor de renderização ou de carregamento de módulos não randomiza (ou expõe) endereços de memória da forma esperada quando o atacante controla conteúdo de uma página web.

As fontes disponíveis não detalham qual componente exato do IE (motor de script, parser de DOM, biblioteca específica) apresentava o vazamento de endereço nem qual API foi abusada para obter esse dado. Não encontramos análise técnica pública dissecando o bug byte a byte — apenas a descrição de alto nível do fornecedor e a entrada da CISA. Isso é relevante: a documentação técnica granular desta CVE específica é escassa mesmo em fontes de pesquisa consolidadas.

O vetor CVSS informado (C:N/I:H/A:N) chama atenção por marcar impacto de Integridade como Alto e Confidencialidade como Nenhum — padrão atípico para um 'ASLR bypass' clássico, que normalmente vaza endereços de memória (impacto de confidencialidade). Isso sugere que o cenário de pontuação considera o bypass como facilitador direto de um ganho de integridade (ex.: viabilizar execução de código controlado) em uma cadeia de exploração, e não como vazamento de informação isolado — mas as fontes não confirmam explicitamente esse raciocínio, é inferência a partir da métrica.

O vetor de ataque é web: a vítima precisa visitar uma página especialmente construída usando uma versão vulnerável do Internet Explorer (interação do usuário é exigida — UI:R). Não há indicação de necessidade de autenticação, configuração não padrão ou acesso à rede interna; o requisito real é o navegador vulnerável e o usuário abrir o link.

Em exploração real de navegador, um bypass de ASLR como este raramente é usado isoladamente — ele serve para tornar exploráveis vulnerabilidades de corrupção de memória (use-after-free, buffer overflow) que, sem contornar o ASLR, teriam exploração pouco confiável por dependerem de adivinhar endereços de memória. A presença desta CVE no catálogo KEV da CISA confirma que foi observada em exploração ativa, mas as fontes fornecidas não descrevem a campanha, o ator ou a cadeia completa de exploit em que foi empregada.

A data de inclusão no KEV (25/05/2022) é sete anos posterior à publicação original (fevereiro/2015), padrão comum para CVEs antigas do IE que a CISA adiciona retroativamente ao formar sua lista com base em evidência histórica de exploração — não necessariamente indica uma nova onda de ataques em 2022.

A correção oficial veio pelo boletim MS15-009 (KB3034682), que trata 41 vulnerabilidades do Internet Explorer, incluindo esta. Para o Internet Explorer 9 especificamente, a Microsoft lista a atualização KB3034196 como o pacote que endereça a falha de 'Security Feature Bypass' (aggregate severity: Important para Windows Vista/Server 2008, Low para Windows Server 2008). O texto da fonte disponível não relaciona explicitamente KBs equivalentes para IE10 e IE11 — para esses ramos, aplicar a atualização cumulativa do boletim MS15-009 correspondente à versão e ao sistema operacional é o caminho indicado pelo fornecedor.

Como esta CVE afeta um navegador fora de suporte desde muito tempo (IE 9–11 são end-of-life), a mitigação prática hoje não é 'aplicar o patch' — é eliminar o Internet Explorer do ambiente ou restringir seu uso a modo Enterprise Mode/IE Mode gerenciado, sem navegação livre a sites externos não confiáveis. Não existe um paliativo de configuração (registro, GPO) documentado nas fontes consultadas que restaure o ASLR sem a atualização; a atualização binária era a única correção anunciada.

O que não funciona como mitigação: desabilitar apenas scripts ou ActiveX não resolve o problema de fundo do ASLR, porque o bypass está na implementação do próprio recurso de proteção do processo, não em um componente de conteúdo específico que se possa bloquear seletivamente.

Não há assinatura de rede ou de log confiável documentada nas fontes consultadas para detectar tentativas de exploração desta CVE especificamente — um bypass de ASLR por si só não deixa artefato de rede distintivo, já que a técnica normalmente opera dentro do processo do navegador (JavaScript/DOM) sem gerar tráfego anômalo identificável. Na prática, a exploração real desta falha só é detectável como parte de uma cadeia mais ampla (ex.: junto com o exploit de corrupção de memória que ela viabiliza), e os indicadores de comprometimento relatados por essas campanhas — quando existem — não estão descritos nas fontes disponíveis para esta página.