CVE-2018-8373

Falha de corrupção de memória no scripting engine do Internet Explorer (versões 9, 10 e 11) que permite execução remota de código quando o usuário visita uma página maliciosa. A CISA incluiu a CVE no catálogo KEV em 2022, confirmando exploração ativa, apesar de ter sido corrigida pela Microsoft em 2018 — o que indica que ainda havia sistemas não corrigidos sendo atacados anos depois do patch.

A vulnerabilidade está classificada pela CISA como CWE-787 (Out-of-Bounds Write), afetando a forma como o scripting engine do Internet Explorer (o motor que interpreta JScript/VBScript embutido em páginas HTML) manipula objetos na memória. O advisory da Microsoft não detalha o componente exato do parser nem a rotina interna afetada, apenas confirma que o problema ocorre no tratamento de objetos em memória durante a execução de script.

O vetor CVSS (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H) indica que o ataque é remoto, não exige privilégios prévios, mas tem complexidade de ataque alta (AC:H) e requer interação do usuário (UI:R) — tipicamente, abrir uma página web ou documento controlado pelo atacante no IE vulnerável. A complexidade alta sugere que a exploração confiável de corrupção de memória em engines de script legado costuma depender de condições específicas de heap/timing, e não de um gatilho trivial e determinístico.

Como em outras CVEs da mesma leva de agosto de 2018 (a Microsoft publicou várias vulnerabilidades similares de scripting engine na mesma atualização — CVE-2018-8353, 8355, 8359, 8371, 8372, 8385, 8389, 8390), a CVE-2018-8373 é tratada como distinta por afetar um caminho de código específico, mas o mecanismo de classe é o mesmo: corrupção de memória explorável via script malicioso processado pelo motor de JScript/VBScript do IE.

O vetor de ataque típico é uma página web maliciosa (ou conteúdo HTML malicioso entregue por e-mail, documento do Office com objeto embutido, ou anúncio comprometido) que a vítima abre no Internet Explorer. Como AV:N e PR:N, não é necessário acesso à rede interna nem credenciais — o atacante só precisa convencer a vítima a acessar o conteúdo (UI:R). Não há indício nas fontes de que a falha exija configuração não padrão do IE ou de que dependa de zonas de segurança específicas.

A presença no catálogo KEV da CISA, com adição em 25/03/2022 e prazo de correção em 15/04/2022 (quatro anos após a publicação original), é o dado mais relevante para priorização: significa que, apesar de patch disponível desde 2018, a exploração em campo continuou sendo observada tempo suficiente para justificar a inclusão formal como vulnerabilidade explorada ativamente, provavelmente em ambientes que mantinham IE legado sem atualização. A CISA não classifica a CVE como usada em campanhas de ransomware ('Unknown').

Não há, nas fontes consultadas, detalhes públicos de write-up técnico com PoC ou detalhes de exploração passo a passo — apenas confirmação de que a falha é de RCE via memória corrompida no engine de script, consistente com o padrão histórico de exploits de IE dessa era (uso de heap spray e técnicas de bypass de ASLR/DEP combinadas para transformar a corrupção de memória em execução de código).

A correção definitiva é aplicar a atualização de segurança da Microsoft referente a agosto de 2018 (Patch Tuesday), que corrigiu a CVE-2018-8373 junto com as demais falhas do scripting engine divulgadas no mesmo ciclo. O número exato de KB associado não está confirmado nas fontes consultadas — deve ser verificado no Microsoft Security Response Center (MSRC) para a build específica de IE/Windows em uso.

Como paliativo em ambientes que não podem atualizar imediatamente, a mitigação histórica recomendada pela Microsoft para essa classe de vulnerabilidade era restringir o uso do VBScript/JScript legado (via políticas de restrição de ActiveScripting ou removendo associação de MIME types de script) e impedir a execução do Internet Explorer como navegador padrão, migrando para navegadores com engines de script mais modernos e isolamento de processo mais robusto. Isso reduz superfície, mas não elimina o risco se o IE ainda for invocado por compatibilidade (ex.: intranets legadas, Modo de Exibição de Compatibilidade do Edge).

Não funciona como mitigação real apenas desabilitar extensões de terceiros ou bloquear ActiveX — a falha está no motor de scripting nativo do IE, não em um add-on. A remoção completa do Internet Explorer (quando suportado pela versão do Windows) ou o bloqueio de sua execução via GPO é o controle compensatório mais efetivo quando o patch não pode ser aplicado.

Não há, nas fontes consultadas, indicadores de comprometimento (IOCs) públicos específicos para esta CVE — nem assinaturas de payload, nem hashes, nem padrões de tráfego documentados. Em ambientes com IE legado ainda em uso, o sinal mais prático de tentativa de exploração seria a observação de crashes do processo iexplore.exe/mshtml.dll correlacionados com acesso a URLs externas não confiáveis, ou alertas de EDR relacionados a técnicas de heap spray/shellcode em processos do IE — mas isso é uma heurística geral para exploração de scripting engine, não uma assinatura específica desta CVE.