CVE-2015-5119
Patch now. It under exploitation confirmed by CISA, has a working public exploit and 1 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
The impacted product is end-of-life and should be disconnected if still in use.
Summary
Use-after-free na classe ByteArray da implementação ActionScript 3 do Adobe Flash Player, explorável via SWF malicioso que sobrescreve a função valueOf() para corromper memória. Vazou junto com o material da Hacking Team em julho de 2015 e foi explorada in-the-wild antes mesmo da correção oficial, o que a colocou no catálogo KEV da CISA. O CVSS 7.8 já reflete que a exploração exige interação do usuário (abrir página ou documento com o conteúdo Flash) — não é um bug explorável sem qualquer ação da vítima, apesar de ter sido tratada como crítica na época.
Technical detail
A falha (CWE-416, use-after-free) está no tratamento da classe flash.utils.ByteArray dentro do motor ActionScript 3. Um objeto ByteArray pode ter seu tamanho alterado através de uma chamada que aciona internamente a função valueOf() de outro objeto controlado pelo atacante. Se esse valueOf() customizado força a liberação (free) do buffer subjacente do ByteArray enquanto o motor ainda mantém uma referência ativa a ele, uma operação subsequente escreve ou lê nesse ponteiro já liberado.
O atacante controla o conteúdo do SWF, incluindo a implementação da função valueOf() que é chamada em um momento inesperado pelo runtime, e pode preparar a heap para que a memória liberada seja realocada com dados sob seu controle (heap grooming). Isso transforma o use-after-free em corrupção de memória com potencial de controle de fluxo de execução, e não apenas em um crash.
O bug foi descoberto pela própria Hacking Team (empresa italiana que desenvolvia o RCS, spyware comercial vendido a governos) e veio à luz quando a empresa foi invadida e teve seu código-fonte e e-mails internos publicados em julho de 2015. Havia múltiplos 0-days de Flash no mesmo vazamento (CVE-2015-5122, CVE-2015-5123, entre outros), o que gerou uma sequência de patches de emergência da Adobe naquele mês.
How it’s exploited
O vetor é conteúdo Flash malicioso embutido em página web ou em documento do Office que carrega o plugin Flash. Não há necessidade de autenticação nem de configuração não padrão — basta o Flash Player estar instalado e habilitado no navegador. A CISA e a comunidade (via issue de vulnrichment do próprio catálogo KEV) reconhecem que o vetor de ataque real exige interação do usuário (visitar uma página ou abrir um arquivo), por isso o vetor correto é AV:L/UI:R, não AV:N/UI:N como constava originalmente em bases que tratavam esse tipo de bug de Flash como 'automatizável' — não é.
Existe módulo público no Metasploit (exploit/multi/browser/adobe_flash_hacking_team_uaf) testado contra Internet Explorer 11 e Firefox 38.0.5 no Windows 7/8.1 com Flash 18.0.0.194, e contra Firefox 33.0 no Linux Mint com Flash 11.2.202.468 — ou seja, a prova de conceito pública cobre exatamente as versões descritas como vulneráveis. A exploração bem-sucedida entrega execução de código arbitrário no contexto do usuário que executa o Flash Player (não do sistema), portanto o impacto real depende dos privilégios do processo do navegador/plugin no momento do ataque.
Houve exploração ativa documentada em julho de 2015, atribuída ao próprio código da Hacking Team recuperado no vazamento e rapidamente incorporado a exploit kits de webcrime da época — motivo da entrada no catálogo KEV da CISA com exigência de correção.
Versions
How to protect
A correção oficial da Adobe, segundo o CERT/CC, está disponível a partir do Flash Player Desktop 18.0.0.203 para Windows/OS X (boletim APSB15-16); consulte esse boletim para as versões corrigidas específicas de outras plataformas, incluindo Linux, que não foram confirmadas em detalhe nas fontes consultadas aqui. Distribuições Linux publicaram pacotes próprios: openSUSE e Red Hat (RHSA-2015:1214) disponibilizaram atualizações do flash-plugin para suas respectivas versões suportadas na época.
Como paliativo, o CERT/CC recomendava (na época) habilitar click-to-play para conteúdo Flash no navegador, ou desabilitar/desinstalar o plugin por completo, já que o vetor depende inteiramente de o Flash estar ativo. O Microsoft EMET, com Attack Surface Reduction (ASR), podia restringir o carregamento do controle ActiveX do Flash pelo Internet Explorer e pelo Office — mitigação hoje obsoleta, pois o EMET foi descontinuado.
O ponto mais relevante para qualquer leitor em 2024+: o Adobe Flash Player atingiu fim de vida em 31 de dezembro de 2020, deixou de receber patches e a Adobe passou a bloquear ativamente a execução de conteúdo Flash em suas próprias builds. Não existe mitigação parcial razoável hoje além de garantir que o Flash Player esteja completamente removido do ambiente — manter qualquer versão instalada, mesmo 'corrigida', expõe a esta e a dezenas de outras vulnerabilidades sem suporte do fornecedor.
How to detect
Não há assinatura de rede confiável e específica para este CVE isoladamente — a exploração ocorre dentro do parsing ActionScript de um SWF, e variações de ofuscação no bytecode dificultam detecção genérica por payload. Sinais indiretos incluem: crashes ou access violations do processo do plugin Flash (ex.: plugin-container.exe, npswf32.dll, libflashplayer.so) em logs de sistema ou EDR, entrega de arquivos .swf ou documentos Office com objetos Flash embutidos vindos de fontes não usuais, e alertas de IDS/AV para exploit kits conhecidos da época (que incorporaram este CVE) baseados em heurística de SWF malicioso, não em assinatura exata da falha.