CVE-2019-1297

Vulnerabilidade de execução remota de código no Microsoft Excel causada por manuseio incorreto de objetos em memória ao processar um arquivo malicioso. Afeta Excel, o pacote Office e o Office 365 ProPlus, e está no catálogo KEV da CISA como exploração confirmada em ambiente real — não é uma classificação teórica de risco.

A Microsoft descreve a falha apenas como corrupção de memória: o Excel falha ao validar corretamente um objeto ao processar um arquivo, e esse manuseio incorreto pode ser explorado para executar código no contexto do usuário que abre o arquivo. O advisory oficial da Microsoft não detalha o componente exato (parser de qual formato de arquivo, estrutura de dados específica, ou se é use-after-free, leitura fora de limites ou corrupção de heap) — a MSRC historicamente mantém esse nível de detalhe fechado para vulnerabilidades de Office.

Não há, nas fontes disponíveis, uma análise técnica pública detalhando o CWE exato ou o caminho de código vulnerável. Isso é comum em CVEs de Office desse período: o boletim da Microsoft é a única fonte primária, e pesquisadores independentes raramente publicam engenharia reversa completa quando a exploração já está confirmada em campanhas ativas, para não facilitar reprodução.

O atacante controla o conteúdo do arquivo do Excel entregue à vítima — a superfície de ataque é o parser de documento, não uma API de rede. Isso classifica a falha como client-side, dependente de interação humana (o vetor CVSS traz UI:R, interação do usuário obrigatória).

O vetor é um arquivo do Excel malicioso entregue à vítima, tipicamente por e-mail (anexo) ou download, que a vítima precisa abrir. Não há evidência nas fontes de exploração sem interação do usuário — o CVSS marca UI:R (interação requerida) e não há indicação de vetor de rede que dispense abertura do arquivo. Não é necessária autenticação prévia (PR:N) nem configuração não padrão conhecida; o requisito real é engenharia social para convencer a vítima a abrir o documento.

A CISA lista a CVE no catálogo KEV com nota de que foi observada em exploração ativa, mas classifica como 'Unknown' o uso em campanhas de ransomware — ou seja, há confirmação de exploração, mas não necessariamente ligada a operações de ransomware documentadas publicamente pela CISA. A data de inclusão no KEV (março de 2022) é quase três anos após a publicação original (setembro de 2019), padrão comum para vulnerabilidades legadas que a CISA retroativamente confirma como exploradas.

O resultado da exploração bem-sucedida é execução de código arbitrário no contexto do usuário que abriu o arquivo — impacto total de confidencialidade, integridade e disponibilidade (C:H/I:H/A:H no CVSS), mas limitado aos privilégios da conta logada, não necessariamente escalonamento a sistema.

A mitigação primária é aplicar a atualização de segurança da Microsoft referente a esta CVE, disponível desde setembro de 2019 (Patch Tuesday). O advisory oficial da MSRC (portal.msrc.microsoft.com) lista os KBs e builds específicos por versão de Office/Excel — as fontes disponíveis aqui não trazem os números de build exatos, e não se deve assumir uma versão de correção sem consultar o boletim original, já que o Office teve múltiplos canais de atualização (MSI, Click-to-Run, Office 365) com numeração de build distinta.

Como controle compensatório quando o patch não pode ser aplicado imediatamente: Protected View e bloqueio de macros/objetos incorporados reduzem a superfície de exploração para arquivos vindos da internet ou e-mail, e políticas de bloqueio de anexos de Office em gateways de e-mail mitigam o vetor de entrega mais comum. Isso não corrige a falha de memória, apenas reduz a chance do arquivo malicioso chegar ao parser vulnerável sem revisão.

Dado que a falha está no catálogo KEV, a diretriz BOD 22-01 da CISA para órgãos federais dos EUA já exigia correção — para qualquer organização, o tempo de exposição de mais de quatro anos (2019 a hoje) é o dado mais relevante: sistemas ainda não corrigidos merecem tratamento prioritário, não porque a CVE é recente, mas porque a confirmação de exploração ativa está registrada.

Não há assinatura pública conhecida ou indicador de comprometimento específico documentado nas fontes disponíveis. Como o vetor é um arquivo do Excel malicioso, o sinal mais prático a monitorar é comportamento pós-abertura anômalo do processo EXCEL.EXE (spawning de processos filho inesperados, injeção em outro processo, conexões de rede não usuais originadas do Excel) via EDR, e bloqueio/inspeção de anexos do Office em gateways de e-mail. Ausência de assinatura de rede conhecida significa que detecção baseada em IDS/IPS tradicional tem baixa confiabilidade para esta CVE específica; a defesa mais efetiva é comportamental, no endpoint.