Internet Explorer Memory Corruption Vulnerability

Falha de use-after-free (CWE-416) no motor de renderização do Internet Explorer 9 e 11 e no Edge legado baseado em EdgeHTML, que permite execução de código arbitrário quando a vítima visita uma página maliciosa. A CVE entrou no catálogo KEV da CISA por exploração confirmada em campanha real, associada por pesquisadores de segurança a ataques direcionados contra a própria comunidade de pesquisa de vulnerabilidades — não uma exploração massiva e oportunista.

A vulnerabilidade é um use-after-free (CWE-416) no componente de renderização do IE/EdgeHTML: um objeto de memória é liberado enquanto ainda existe uma referência ativa a ele, e o motor de script continua operando sobre essa referência pendente. Isso permite que um atacante manipule o layout de heap para que a memória liberada seja realocada com conteúdo controlado, corrompendo estruturas internas do processo de renderização e abrindo caminho para execução de código no contexto do usuário logado.

O vetor de ataque é rede (AV:N) e não exige privilégios (PR:N), mas exige interação do usuário (UI:R) — a vítima precisa abrir uma página ou documento malicioso no IE ou no Edge legado. A cadeia de impacto do CVSS (S:C, C:L/I:H/A:L) indica que o impacto pode se estender além do processo comprometido, condição típica de exploração via renderização de conteúdo embutido em documentos do Office ou em páginas web.

A Microsoft classificou o problema apenas como "Internet Explorer Memory Corruption Vulnerability", sem detalhar a rotina de código afetada nem o fluxo exato do UAF; o CWE-416 e a confirmação de exploração vêm da entrada da CISA no KEV, não do advisory da Microsoft.

A exploração observada nesta CVE fez parte de uma campanha atribuída publicamente por pesquisadores de segurança a atores ligados à Coreia do Norte, que teria usado o IE9/IE11 como um dos vetores para atacar pesquisadores de vulnerabilidades e engenheiros de segurança — incluindo o uso de sites falsos e documentos maliciosos que acionavam a renderização vulnerável. Isso contextualiza o CVSS alto: a falha por si só é grave, mas o padrão de exploração documentado não foi indiscriminado contra qualquer usuário de internet, e sim direcionado.

Tecnicamente, a exploração exige que a vítima abra conteúdo controlado pelo atacante (página web, documento Office com renderização via IE/EdgeHTML embutida) capaz de disparar a condição de use-after-free. Não há indicação nas fontes de que a falha seja explorável sem interação do usuário ou remotamente sem esse gatilho. A complexidade de exploração de UAFs desse tipo geralmente exige encadeamento com técnicas de heap grooming e, com frequência, um segundo bug para escapar de sandbox ou elevar privilégios — mas isso não está detalhado nas fontes disponíveis para esta CVE específica.

Existe PoC pública conhecida, o que reduz a barreira para reprodução por outros atores além do grupo original, mesmo que o volume de exploração ativa registrado tenha sido direcionado.

A correção oficial veio via atualização de segurança da Microsoft distribuída no ciclo de patches associado à publicação desta CVE (março de 2021). O número exato de KB/build corrigido não está confirmado nas fontes consultadas — trate o advisório oficial da Microsoft (MSRC) como referência para o build específico do seu SO e versão de IE/Edge antes de considerar o ambiente corrigido.

Como paliativo real quando a atualização não pode ser aplicada imediatamente: remover ou restringir o uso do Internet Explorer 11 e do modo IE do Edge legado como navegador padrão, bloquear a renderização de conteúdo web via componentes EdgeHTML embutidos em outras aplicações (um vetor comum de exposição indireta), e impedir a abertura automática de anexos/links por usuários com privilégios elevados. Diretivas de Restrição de Software ou AppLocker que bloqueiam a execução do processo do IE em contextos de rede não confiável reduzem a superfície, mas não eliminam o risco se o componente ainda for invocado por outro processo.

O IE11 já está fora de suporte no Windows 10/11 desde 2022, o que torna a mitigação definitiva de fato a migração para um navegador com suporte ativo — mas isso é constatação de ciclo de vida do produto, não recomendação de fornecedor específico. Não funciona como mitigação apenas desabilitar JavaScript no IE de forma parcial ou confiar em zonas de segurança do IE sem testes, pois UAFs desse tipo podem ser acionados por caminhos de renderização que não passam exclusivamente por script.

Não há assinatura de rede ou de log genérica e confiável para detectar tentativas de exploração deste UAF específico — a exploração ocorre dentro do processo de renderização do IE/EdgeHTML e normalmente só é identificável por telemetria de EDR observando crashes anômalos do processo iexplore.exe/MicrosoftEdgeCP.exe, injeção de código pós-corrupção de memória, ou por indicadores de comprometimento associados à campanha de engenharia social que entregou o exploit (domínios e documentos maliciosos ligados ao caso divulgado por pesquisadores). Na ausência de IOCs específicos publicados pela Microsoft para esta CVE, a defesa prática é monitorar processos de renderização legados por comportamento pós-exploração (spawn de processos filhos inesperados, escrita em disco fora de padrões normais do navegador).