CVE-2015-1641
Prioritize patching. It under exploitation confirmed by CISA, has a public proof of concept and 3 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
Apply updates per vendor instructions.
Summary
Falha de corrupção de memória no parser de RTF do Microsoft Word e componentes relacionados do Office, explorável ao abrir um documento RTF malicioso. Está no catálogo KEV da CISA com exploração confirmada e o EPSS de 0,97 indica altíssima probabilidade de exploração ativa — apesar do vetor CVSS marcar Local (AV:L), a entrega é remota via e-mail ou download, e o "local" reflete apenas que o processamento ocorre na máquina da vítima.
Technical detail
A vulnerabilidade está no código de parsing de RTF do Word (e dos componentes que reaproveitam esse parser: Office Compatibility Pack, Word Viewer, Word Automation Services no SharePoint e Office Web Apps Server). O CISA KEV classifica a causa como CWE-399 (erro de gerenciamento de recursos) e a Microsoft descreve como falha em como o Office processa arquivos na memória — um documento RTF criado com estruturas fora do esperado leva a corrupção de memória durante o parsing.
O atacante controla o conteúdo do arquivo RTF entregue à vítima. Não há indicação nas fontes de que seja necessária configuração não padrão do Office; o gatilho é simplesmente abrir o arquivo malicioso com uma versão vulnerável instalada.
O boletim MS15-033 trata essa e outras falhas relacionadas na mesma atualização (incluindo uma vulnerabilidade de sanitização de entrada no SharePoint), mas a CVE-2015-1641 especificamente é a "Microsoft Office Memory Corruption Vulnerability" ligada ao RTF.
How it’s exploited
O vetor é um documento RTF malicioso entregue por e-mail (anexo) ou hospedado para download — não exige autenticação nem acesso prévio à rede da vítima, apenas que ela abra o arquivo (UI:R no vetor CVSS). Ao ser processado pelo Word ou por qualquer componente que reutilize o parser RTF (Word Viewer, Compatibility Pack, Word Automation Services em SharePoint, Office Web Apps Server), a corrupção de memória permite execução de código arbitrário no contexto do usuário atual — ou seja, o impacto é limitado pelos privilégios da conta que abriu o arquivo.
A CISA confirma exploração ativa (KEV, adicionada em 2021-11-03) e o EPSS de 0,97 reforça isso, mas as fontes consultadas não trazem detalhes de campanhas específicas, atribuição ou uso em ransomware — o próprio KEV marca "Known To Be Used in Ransomware Campaigns: Unknown".
Existem PoCs públicos, o que reduz a barreira técnica para reprodução, mas nenhuma das fontes lidas descreve a técnica de heap grooming ou o campo RTF específico abusado.
Versions
How to protect
Aplicar as atualizações do boletim MS15-033 (KB3048019 e os KBs específicos por produto: 2965284 para Word 2007 SP3, 2965236/2956138 para Office 2010 SP2, 2553428/2956139 para Word 2010 SP2, 2965224/2956163 para Word 2013 SP1 e 2013 RT SP1, 2965289 para Word Viewer, 2965210 para Office Compatibility Pack SP3, 3051737 para Office/Word for Mac 2011, 2553164 para Word Automation Services no SharePoint 2010 SP2, 2965215 para SharePoint 2013 SP1, 2965238 para Office Web Apps Server 2010 SP2 e 2965306 para Office Web Apps Server 2013 SP1). Office Web Apps Server não recebe a correção via Windows Update automático — precisa de aplicação manual conforme instruções da Microsoft.
Como o suporte para todas as versões listadas já se encerrou há anos, sistemas hoje expostos a essa CVE provavelmente rodam software fora de ciclo de vida — nesse caso a mitigação real é migrar para uma versão suportada, não apenas aplicar o patch de 2015. Como paliativo temporário, bloquear ou colocar em quarentena anexos RTF em gateways de e-mail reduz a superfície, mas não elimina o risco se o usuário salvar e abrir o arquivo por outro canal.
Não funciona como mitigação: visualizar o documento em "modo protegido" sem desabilitar a execução, pois a falha está no próprio parsing e pode ser acionada antes de qualquer decisão explícita do usuário sobre edição.
How to detect
As fontes consultadas não trazem assinatura, hash ou padrão de tráfego específico associado à exploração dessa CVE. Como indicador genérico, monitorar recebimento e abertura de anexos .rtf de origem externa, e crashes ou comportamento anômalo do WINWORD.EXE (ou dos serviços de Word Automation Services/Office Web Apps) imediatamente após a abertura de um arquivo RTF, é o sinal mais próximo disponível — mas não há confirmação de assinatura de detecção publicada nas fontes lidas.