CVE-2018-5002

Buffer overflow baseado em pilha (CWE-787) no Adobe Flash Player 29.0.0.171 e versões anteriores, corrigido no boletim APSB18-19 junto com outras três falhas. Está no catálogo KEV da CISA com exploração confirmada, mas o produto é end-of-life desde 31/12/2020 e a única ação que a própria CISA recomenda é desinstalar — não existe mais um cenário de 'aplicar patch' viável.

A falha é um stack-based buffer overflow (CWE-787) no runtime do Flash Player. A Adobe não detalhou publicamente o componente interno afetado no advisory APSB18-19; o boletim lista a CVE junto com CVE-2018-4945 (também execução de código arbitrário) e duas falhas de disclosure de informação (CVE-2018-5000 e CVE-2018-5001), corrigidas no mesmo pacote.

O vetor CVSS informado (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) indica que a exploração bem-sucedida exige interação do usuário (UI:R) e não requer privilégios prévios (PR:N), com impacto total em confidencialidade, integridade e disponibilidade — coerente com execução de código no contexto do usuário atual, conforme a descrição oficial da Adobe. Vale registrar que a atribuição original de metadados no catálogo da CISA (via projeto vulnrichment) tratava várias CVEs antigas de Flash, incluindo esta, como UI:N e 'automatizável', o que pesquisadores da própria comunidade apontaram como superestimado: a exploração de fato depende de o usuário abrir ou carregar um conteúdo SWF malicioso, não de um ataque remoto sem qualquer ação da vítima.

O atacante controla o conteúdo do arquivo SWF (ou embutido em um documento/página que carrega Flash), manipulando estruturas internas para sobrescrever dados na pilha e desviar o fluxo de execução, típico de overflow em parsers de estrutura de arquivo ou em rotinas de processamento de ActionScript/Shape do Flash Player.

O vetor prático é entrega de um arquivo SWF malicioso — embutido em página web, anúncio malvertising, ou documento (Office, PDF) com objeto Flash incorporado — que a vítima precisa abrir ou visualizar. Não há indício de exploração sem interação do usuário; a falha exige que o Flash Player esteja instalado e habilitado no navegador ou aplicação hospedeira e que o usuário execute a ação de carregar o conteúdo.

A presença no catálogo KEV da CISA confirma exploração no mundo real, mas as fontes disponíveis não detalham o ator, campanha ou momento específico da exploração — apenas que ocorreu e justificou a inclusão no catálogo obrigatório para agências federais dos EUA. O padrão histórico de exploração de Flash nessa era (2018) foi majoritariamente via exploit kits e documentos maliciosos direcionados, mas isso não está documentado explicitamente para esta CVE nas fontes lidas.

O resultado de uma exploração bem-sucedida é execução de código arbitrário no contexto de privilégios do usuário que executou o Flash Player — não do sistema, salvo escalonamento posterior via outra falha.

A correção oficial da Adobe é a atualização para o Flash Player 30.0.0.113 (boletim APSB18-19, junho de 2018). Distribuições Linux replicaram essa correção nos pacotes de plugin equivalentes (ex.: Red Hat RHSA-2018:1827 e Gentoo GLSA 201806-02, ambos apontando para a mesma versão 30.0.0.113).

Essa correção, porém, é histórica: o Adobe Flash Player atingiu fim de vida em 31 de dezembro de 2020, a Adobe interrompeu a distribuição e passou a bloquear a execução de conteúdo Flash em suas próprias versões finais. A ação recomendada pela CISA no catálogo KEV não é 'atualizar', e sim desinstalar o Flash Player e remover qualquer instância remanescente do produto — não existe versão suportada para aplicar como mitigação atual. Não há workaround de configuração conhecido (o próprio Gentoo GLSA registra 'no known workaround' na época); qualquer navegador ou ambiente que ainda carregue esse runtime deve ser tratado como risco de execução de código, independentemente de patch.

Não há assinatura de rede confiável e específica para esta CVE nas fontes disponíveis — a exploração ocorre no processamento local do arquivo SWF pelo runtime do Flash, não em um padrão de tráfego distintivo. Sinais indiretos a observar incluem crash reports ou logs de falha do processo do navegador/plugin Flash correlacionados com download ou renderização de conteúdo SWF de origem não confiável, e a simples presença de instâncias do Flash Player em endpoints — dado o EOL do produto, qualquer instalação detectada já é um indicador de risco por si só, independente de tentativa de exploração confirmada.