CVE-2015-3113
Patch now. It under exploitation confirmed by CISA, has a working public exploit and 1 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
The impacted product is end-of-life and should be disconnected if still in use.
Summary
Heap-based buffer overflow no Adobe Flash Player que permite execução de código arbitrário ao abrir um arquivo SWF malicioso. Foi explorada em ataques direcionados ("limited, targeted attacks", segundo a Adobe) já em junho de 2015, contra usuários de Internet Explorer no Windows 7 e anteriores e Firefox no Windows XP, antes mesmo da correção estar disponível — um 0-day real. O CVSS alto (originalmente 10.0 em CVSS2, hoje reavaliado pela CISA para AV:L/UI:R) esconde que a exploração depende de o usuário abrir/visualizar conteúdo Flash malicioso, não de um serviço de rede exposto.
Technical detail
A falha é um heap-based buffer overflow (CWE-122) no mecanismo de processamento de conteúdo SWF do Flash Player. O atacante controla o conteúdo do arquivo SWF entregue à vítima; ao ser processado pelo player, uma estrutura de dados na heap é escrita fora dos limites alocados, corrompendo memória adjacente. Nem a Adobe nem os advisories consultados detalham o componente interno exato (parser, decodificador de vídeo/bitmap ou manipulação de arrays) — a Adobe descreveu apenas como "vetores não especificados" (unspecified vectors).
O impacto documentado é execução de código arbitrário no contexto do processo do Flash Player/navegador, com potencial de comprometimento total (confidencialidade, integridade e disponibilidade), conforme refletido nos vetores C:H/I:H/A:H do CVSS. A CISA, ao reavaliar a entrada no catálogo KEV (vulnrichment issue #196), reclassificou o vetor de ataque de rede (AV:N) para local (AV:L) e a interação do usuário de nenhuma (UI:N) para requerida (UI:R), classificando a exploração como "Automatable: No" — ou seja, a cadeia de ataque depende do usuário abrir/visualizar o conteúdo malicioso, não de um serviço remoto acessível diretamente pela rede.
A falha afeta o Flash Player em três ramos de versão simultaneamente (extended support antigo, ramo principal 14.x–18.x, e o ramo específico do Linux), o que é típico da arquitetura de manutenção multi-branch da Adobe na época — cada plataforma/ramo recebeu patch equivalente, mas com numeração de versão diferente.
How it’s exploited
O vetor é a entrega de um SWF malicioso à vítima — tipicamente embutido em uma página web comprometida ou controlada pelo atacante (drive-by / strategic web compromise), exigindo que o navegador da vítima carregue o Flash Player para renderizar o conteúdo. Não há necessidade de autenticação nem de configuração não padrão: qualquer instalação vulnerável do plugin, com Flash habilitado no navegador, é suscetível. O pré-requisito real é a ação do usuário de visitar/abrir a página com o SWF (UI:R) — não é uma exploração puramente automatizada de rede.
A Adobe confirmou, no boletim que originou este CVE (APSB15-14), que a falha estava sendo ativamente explorada "in the wild via limited, targeted attacks", com sistemas rodando Internet Explorer em Windows 7 e versões anteriores, e Firefox em Windows XP, como alvos conhecidos. Isso indica uma campanha direcionada e não uma exploração massiva e indiscriminada nesse momento inicial — o que mudou depois, com a incorporação a exploit kits e ao módulo Metasploit público, ampliando o alcance da exploração para qualquer alvo com Flash desatualizado.
O resultado final da exploração bem-sucedida é execução de código arbitrário no contexto do processo do Flash Player/navegador da vítima, servindo geralmente como ponto de entrada inicial para implantação de malware adicional.
Versions
How to protect
A correção definitiva é atualizar o Adobe Flash Player para a versão corrigida do respectivo ramo: 13.0.0.296 ou posterior (ramo de extended support), 18.0.0.194 ou posterior (Windows e OS X, ramo 14.x–18.x) e 11.2.202.468 ou posterior (Linux). Distribuições Linux que empacotavam o plugin (ex.: Red Hat via canal Supplementary, openSUSE) publicaram atualizações equivalentes referenciando a mesma versão 11.2.202.468.
Se a atualização não for imediatamente viável, o paliativo real é desabilitar ou desinstalar o plugin Flash no navegador, ou configurar o navegador para exigir clique explícito antes de executar conteúdo Flash (click-to-play), reduzindo a superfície de exploração automática ao navegar. Bloquear a execução de SWF por padrão em nível de proxy/gateway também reduz exposição, mas não elimina o risco se o usuário ainda puder habilitar o conteúdo manualmente.
Não funciona como mitigação: confiar apenas em antivírus genérico sem assinaturas atualizadas para a campanha específica, ou simplesmente reiniciar o navegador/plugin sem atualizar o binário — a falha está no código do player em si, não em estado de sessão.
How to detect
Não há assinatura de log confiável e universal para esta falha específica: a exploração ocorre dentro do processo do Flash Player ao renderizar um SWF malicioso, sem padrão de rede ou de log de aplicação documentado nas fontes disponíveis. Indicadores possíveis, mas não garantidos, incluem crashes recorrentes do processo do plugin Flash (npswf/pepflashplayer) associados a acesso a páginas específicas, e tráfego para domínios que hospedam SWF anômalos — mas nenhuma das fontes consultadas fornece hashes, domínios ou assinaturas específicas da campanha de 2015 associada a este CVE.