CVE-2015-0311

Vulnerabilidade de confusão de tipo (type confusion) no Adobe Flash Player que permite execução remota de código, explorada como 0-day in the wild a partir de janeiro de 2015 pelo Angler Exploit Kit e, depois, em modo standalone para distribuir o ransomware Reveton via malvertising em sites adultos. O CVSS moderno (AV:L/UI:R) reflete uma reclassificação retroativa: a exploração exige que a vítima abra/carregue conteúdo Flash malicioso (drive-by via anúncio ou SWF hospedado), não é um ataque de rede sem interação — mas como Flash era plugin de navegador quase universal em 2015, a superfície de ataque prática era enorme.

A falha foi caracterizada por pesquisadores (Trend Micro, FireEye) como uma confusão de tipo (CWE-843) no interpretador ActionScript do Flash Player: uma estrutura de dados é tratada com um tipo diferente do que foi originalmente alocado, permitindo que o atacante corrompa memória do heap de forma controlada a partir de um arquivo SWF malicioso. Esse padrão é comum a vários 0-days de Flash de 2014-2015 (junto com CVE-2015-0310, CVE-2015-0313, CVE-2015-3113): a corrupção de tipo é usada para conseguir leitura/escrita arbitrária de memória, que por sua vez é usada para localizar módulos carregados e montar um ROP chain, contornando ASLR e DEP sem depender de um bug de corrupção de memória 'clássico' (buffer overflow).

O atacante controla o conteúdo do arquivo SWF entregue à vítima — layout de objetos ActionScript, tamanhos de vetores/arrays e o payload nativo executado após o desvio de fluxo de controle. Não há um vetor de rede direto: o SWF precisa ser processado pelo runtime do Flash Player dentro do navegador (ou em contexto que carregue o plugin), o que é a base para a reclassificação de AV:N/UI:N feita originalmente para AV:L/UI:R pelo time de vulnrichment da CISA — a vítima precisa navegar até o conteúdo (ou abrir o arquivo), configurando a 'interação do usuário' exigida pelo CVSS atual.

A Adobe nunca detalhou publicamente o mecanismo exato no advisory (APSA15-01/APSB15-03); a caracterização técnica vem de análises de terceiros (Trend Micro 'Analyzing CVE-2015-0311', FireEye 'A Different Exploit Angle on Adobe's Recent Zero-Day'), não do fornecedor.

A exploração observada em campo ocorreu via Angler Exploit Kit, integrado a campanhas de malvertising: a vítima visitava uma página legítima servindo um anúncio comprometido, o EK fazia fingerprinting do navegador/versão do Flash e entregava o SWF malicioso adequado. O pré-requisito real é ter o plugin Flash Player habilitado e vulnerável no navegador — funcionou contra Internet Explorer e Firefox em qualquer versão de Windows testada pelos pesquisadores (Windows XP a 8.1, IE6 a IE11, Firefox atualizado); o Chrome não foi afetado nos testes porque o EK não disparava esse bullet contra ele, não por imunidade da vulnerabilidade em si.

Após exploração bem-sucedida, o payload observado foi o Bedep, um loader que executa fraude de anúncios e/ou baixa malware adicional (incluindo Reveton, Cryptolocker, CTB-Locker em cadeias subsequentes), com técnicas de persistência via UAC bypass (uso do migsetup.exe legítimo) e execução em um 'hidden desktop'. Em 24 de janeiro de 2015 o exploit passou a ser usado também em modo standalone (fora de um EK completo), distribuído diretamente em tráfego adulto para espalhar o Reveton — mostrando que, uma vez com o exploit pronto, nem infraestrutura de EK completa era necessária.

A falha está no catálogo KEV da CISA (exploração confirmada) e possui módulo Metasploit e PoC pública, o que elimina qualquer barreira de complexidade para reprodução hoje — mas o valor prático de um exploit para Flash Player em 2024+ é quase nulo, já que o produto está descontinuado e bloqueado por padrão em todos os navegadores modernos.

A correção oficial da Adobe (APSB15-03, lançada em 24/01/2015) foi a versão 16.0.0.296 para Windows e Mac OS X. Para Linux, a linha corrigida foi a 11.2.202.440, conforme reportado nas notas de acompanhamento da mesma rodada de patches. Essas versões e todas as anteriores ao Flash Player estão descontinuadas — a Adobe encerrou suporte ao Flash Player em 31/12/2020 e removeu os binários de download; a mitigação real e definitiva hoje é não ter Flash Player instalado ou habilitado em lugar nenhum do ambiente.

Se por algum motivo legado o plugin ainda estiver presente (sistemas industriais ou legados isolados), o paliativo é desabilitar o plugin no navegador (click-to-play, bloqueio de execução automática de SWF) e restringir a origem de conteúdo Flash a domínios confiáveis via política de navegador ou proxy. O uso do EMET (testado pelos pesquisadores da época, que reportaram bloqueio via mitigação de StackPivot) não é mais uma opção válida — a Microsoft descontinuou o EMET em 2018 e ele não recebe mais atualizações.

Não funciona como mitigação: manter o Flash Player 'atualizado' hoje, pois não há mais build suportado nem canal de atualização — qualquer versão instalada é, por definição, obsoleta e sem patches para vulnerabilidades futuras. A única postura defensável é remoção completa do runtime.

Não há assinatura de exploração confiável e reutilizável hoje — os indicadores conhecidos são específicos da campanha de janeiro de 2015 via Angler EK/Bedep e estão datados: domínios de referrer falsos observados (24x7searcher.com, global-game-search.me, canopus-a7.in, hot100games.in), C&C do Bedep (wzrdirqvrh07.com, jacafyfugdnvoov.com, IP 46.105.251.1) e C&C de fraude de anúncios (canopus-a7.in, IP 185.48.56.103). Esses indicadores servem apenas para investigação retrospectiva de incidentes daquele período; não têm valor para detecção de campanhas atuais, já que a infraestrutura foi desativada há anos e o próprio Flash Player não roda mais na grande maioria dos ambientes.

Em termos de log, o sinal genérico de exploração de Flash via EK é uma requisição a um arquivo .swf com padrão de fingerprinting prévio (User-Agent, versão de plugin) seguida de tráfego de callback para domínios recém-registrados — mas isso é uma heurística de drive-by download em geral, não específica desta CVE.