CVE-2015-8651
Prioritize patching. It under exploitation confirmed by CISA, has a public proof of concept and 1 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
The impacted product is end-of-life and should be disconnected if still in use.
Summary
Falha de integer overflow (CWE-189) no Adobe Flash Player que permite execução arbitrária de código ao processar conteúdo SWF malicioso. Afeta Flash Player, Adobe AIR e o AIR SDK em Windows, macOS e Linux, e está no catálogo KEV da CISA por exploração confirmada — mas hoje o risco real é quase zero porque o Flash Player é produto morto (EOL desde 31/12/2020) e a recomendação oficial da própria CISA é simplesmente desinstalar/desconectar o que ainda o executa.
Technical detail
A Adobe classificou a falha como integer overflow (CWE-189), corrigida junto com um lote de outras 18 CVEs de execução de código no boletim APSB16-01 (dezembro de 2015). A Adobe não publicou detalhes de onde no parser/engine ActionScript ocorre o overflow — a descrição oficial fala em "unspecified vectors", e não localizamos análise técnica pública que dissecasse o componente exato afetado (parsing de SWF, manipulação de arrays, ou runtime de vídeo/imagem, que eram alvos comuns de overflows do Flash na época).
O padrão estrutural desse tipo de falha no Flash Player é o atacante controlar um campo de tamanho ou índice dentro de uma tag SWF (ou de uma chamada ActionScript) que, ao ser somado/multiplicado internamente sem checagem de limites, resulta em um valor menor que o esperado ou negativo. Isso leva a alocação de buffer insuficiente e escrita fora dos limites, com potencial de corrupção de heap controlável e, a partir daí, execução de código no contexto do processo do plugin/navegador.
O CVSS 3.1 do NVD (8.8, AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) reflete um vetor de rede sem necessidade de autenticação, mas com exigência de interação do usuário — condição consistente com o vetor clássico de exploração do Flash: a vítima precisa visitar uma página ou abrir um documento/anúncio que carregue o SWF malicioso.
How it’s exploited
O vetor prático é entrega via navegador: uma página web (ou anúncio malicioso, malvertising) que embute um objeto Flash malicioso, carregado automaticamente quando a vítima acessa o conteúdo. Não há evidência nas fontes consultadas de exigência de configuração não padrão — qualquer instalação do Flash Player nas versões vulneráveis, com o plugin habilitado no navegador, atende ao pré-requisito técnico. A interação do usuário exigida pelo vetor CVSS (UI:R) é, na prática, trivial: basta carregar a página, sem necessidade de clique adicional na maioria dos navegadores da época.
Esta CVE foi corrigida junto com um lote grande de vulnerabilidades de Flash no fim de 2015 (APSB16-01), período em que exploit kits comerciais (ativos na época, como os documentados por diversos pesquisadores de ameaças em campanhas de malvertising e drive-by download) incorporavam rapidamente CVEs de Flash recém-corrigidas aos seus arsenais, visando o grande volume de usuários que demoravam a atualizar o plugin. A entrada no catálogo KEV da CISA confirma exploração no mundo real, mas foi adicionada em maio de 2022 — retroativamente, no contexto de uma revisão ampla de vulnerabilidades antigas de Flash — sem detalhar campanha, ator ou data específica de exploração ativa.
O resultado final da exploração bem-sucedida é execução de código arbitrário no contexto do processo que hospeda o plugin Flash (navegador ou aplicação AIR), com impacto total de confidencialidade, integridade e disponibilidade conforme o CVSS.
Versions
How to protect
A correção do fornecedor é atualizar para Flash Player 18.0.0.324 ou posterior (Windows/macOS, ramo 18.x), 20.0.0.267 (ramo 19.x/20.x em Windows/macOS), 11.2.202.559 (Linux), e Adobe AIR/AIR SDK/AIR SDK & Compiler para 20.0.0.233. Distribuições Linux replicaram o mesmo patch via seus pacotes de flash-plugin (RHEL, openSUSE, Gentoo confirmaram 11.2.202.559 como versão corrigida).
Não existe paliativo real além de atualizar ou remover o componente: a Gentoo GLSA 201601-03 registra explicitamente "não há workaround conhecido no momento". Desabilitar o plugin no navegador ou bloquear execução de conteúdo Flash por política de grupo/click-to-play mitiga o vetor de entrega, mas não corrige a falha subjacente — é redução de superfície, não remediação.
A mitigação efetiva hoje, dado que o Adobe Flash Player atingiu fim de vida em 31 de dezembro de 2020 e não recebe mais patches, é desinstalar o Flash Player e o AIR runtime de qualquer sistema, conforme a própria ação recomendada pela CISA no catálogo KEV: "o produto impactado é end-of-life e deve ser desconectado se ainda em uso". Atualizar para a última versão listada não é mais uma opção sustentável de longo prazo — é remoção completa.
How to detect
Não há assinatura de rede ou de log específica e publicamente documentada para esta CVE isoladamente — ela foi corrigida em lote junto com outras 18 falhas de execução de código no mesmo boletim (APSB16-01), e writeups da época tendem a tratar exploit kits e campanhas de malvertising de forma agregada, sem atribuir amostras a esta CVE em particular nas fontes consultadas. Em ambientes legados que ainda executem versões afetadas, o sinal mais confiável não é forense retroativo, mas inventário: identificar qualquer instalação de Flash Player/AIR abaixo das versões corrigidas já é indicador suficiente de exposição, dado que o produto é EOL e não há mais telemetria de detecção ativa mantida por fornecedores.