CVE-2017-0210

Vulnerabilidade de elevação de privilégio no Internet Explorer que permite quebrar o isolamento entre domínios (Same Origin Policy): o navegador falha em aplicar corretamente as políticas cross-domain, permitindo que um atacante leia conteúdo de um domínio e o injete em outro. Está no catálogo KEV da CISA, confirmando exploração em campo, mas o volume de detalhes técnicos públicos é escasso — a maior parte do que existe hoje vem da própria descrição terse da Microsoft.

A falha é uma violação de Same Origin Policy (categoria próxima de CWE-346, Origin Validation Error) dentro do motor de renderização/scripting do Internet Explorer. O IE deveria isolar contexto de execução e dados entre domínios distintos — cookies, DOM, resultados de requisições —, mas algum componente de enforcement dessa política falha ao validar a origem corretamente, permitindo que script ou conteúdo controlado pelo atacante em um domínio acesse informação pertencente a outro domínio e a injete de volta nele.

A descrição oficial da Microsoft não especifica qual subsistema do IE (Trident/MSHTML, tratamento de frames, XMLHttpRequest, ou manipulação de janelas/popups) é o ponto exato da falha, e não localizamos análise técnica de terceiros que dissecasse o bug em profundidade. Isso é comum em advisories de UXSS (Universal Cross-Site Scripting) da era do IE: o boletim confirma o efeito (bypass de isolamento cross-domain) sem detalhar a causa-raiz no código.

O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) indica exploração remota, sem privilégios, com complexidade de ataque baixa, mas exigindo interação do usuário — tipicamente visitar uma página maliciosa ou clicar em um link. O impacto avaliado é total em confidencialidade, integridade e disponibilidade, refletindo que a quebra de isolamento entre origens pode servir como primitiva para roubo de sessão, injeção de conteúdo em sites legítimos (ex.: sites bancários, portais autenticados) ou encadeamento com outras falhas para execução de código.

O vetor de ataque prático é o clássico de UXSS em navegador: a vítima precisa visitar uma página controlada pelo atacante (ou uma página legítima comprometida/com conteúdo injetado) usando Internet Explorer. Não há indicação de que a falha exija autenticação prévia ou configuração não-padrão do IE — o requisito real é rodar uma versão vulnerável do navegador e interagir com conteúdo malicioso (UI:R no vetor CVSS confirma isso).

Uma vez explorada, a quebra de isolamento cross-domain permite ao atacante ler dados de um domínio (por exemplo, tokens, conteúdo de sessão, informação exibida em um iframe de origem diferente) e reinjetar esse conteúdo em outro domínio sob controle da vítima, abrindo caminho para roubo de credenciais, phishing avançado (injeção de conteúdo malicioso dentro de um site confiável) ou escalonamento para execução de código quando combinada a outras vulnerabilidades do IE.

A presença no catálogo KEV da CISA confirma exploração ativa documentada, mas as fontes disponíveis não detalham campanha, grupo de ameaça ou período de exploração — apenas que a CISA determinou uso real em campo e recomenda aplicar as atualizações do fornecedor. Não há registro de uso confirmado em ransomware, segundo o próprio catálogo.

A recomendação oficial da CISA é genérica: 'aplicar atualizações conforme instruções do fornecedor'. Não temos, nas fontes apuradas, o número exato do boletim de segurança (KB) ou a build específica do IE que corrige a falha — o advisory da MSRC referenciado não teve seu conteúdo detalhado disponível para extração, e não vamos supor números de patch.

Como mitigação estrutural: o Internet Explorer 11 foi descontinuado pela Microsoft (suporte encerrado em 2022 para a maioria dos sistemas, com o binário desativado em favor do modo IE do Edge), então o controle compensatório mais robusto e amplamente aplicável é eliminar o uso do IE como navegador padrão, remover/desativar o mshtml.dll onde não for estritamente necessário para compatibilidade legada, e restringir o modo de Compatibilidade com IE do Edge a sites explicitamente necessários via política de grupo. Isso reduz a superfície de ataque para zero em ambientes que não dependem mais de aplicações legadas exclusivas do IE.

Não funciona como mitigação real: confiar em filtros de conteúdo de rede genéricos ou WAF, já que a falha reside no cliente (navegador) e não em uma aplicação web específica — o problema é a violação de isolamento no motor do navegador, não payload identificável por assinatura de rede confiável.

Não há assinatura de rede ou de log confiável e documentada publicamente para esta CVE especificamente — a exploração ocorre client-side, dentro do motor de renderização do IE, e o efeito observável (injeção de conteúdo cross-domain) se confunde facilmente com XSS convencional em logs de aplicação. Na ausência de IOCs publicados associados a esta CVE, a defesa prática é telemetria de endpoint (EDR) monitorando processos do IE (iexplore.exe / instâncias do modo IE no Edge) acessando páginas com padrões de iframe/popup cruzando domínios de forma anômala, e revisão de alertas de proxy/DLP para exfiltração de dados de sessão logo após navegação em sites não corporativos usando IE.