Windows MSHTML Platform Remote Code Execution Vulnerability

Falha de corrupção de memória no MSHTML (motor de renderização também conhecido como Trident, usado pelo Internet Explorer e por qualquer aplicação que hospede o controle WebBrowser) que permite execução remota de código. Está confirmada como explorada ativamente e consta no catálogo KEV da CISA, mas a Microsoft nunca detalhou publicamente o mecanismo exato — a descrição oficial é deliberadamente genérica.

O CVSS vector e os CWEs associados no catálogo KEV (CWE-787, Out-of-bounds Write, e CWE-823, Use of Out-of-range Pointer Offset) indicam uma vulnerabilidade clássica de corrupção de memória: o parser/motor de layout do MSHTML calcula ou usa um deslocamento de ponteiro fora dos limites válidos de uma estrutura, permitindo escrita fora dos limites de um buffer. Esse tipo de falha em um motor de renderização HTML tipicamente decorre do processamento de conteúdo malformado — HTML, CSS, scripts embutidos ou objetos ActiveX/documentos que acionam o parser.

O MSHTML não é exclusivo do Internet Explorer: qualquer processo que hospede o controle WebBrowser (partes do Office, aplicativos legados, e alguns componentes internos do próprio Windows) invoca o mesmo motor. Isso amplia a superfície de ataque muito além de 'abrir uma página no IE'.

A Microsoft não publicou (nas fontes disponíveis) detalhes de qual API, função ou estrutura específica é afetada, nem qual campo o atacante controla diretamente. Isso é uma lacuna real de informação, não uma omissão nossa — o advisory do MSRC e a entrada do NVD replicam o mesmo texto curto.

O vetor é rede (AV:N), sem necessidade de privilégios (PR:N), mas exige interação do usuário (UI:R) e tem complexidade de ataque alta (AC:H) — ou seja, não é um clique simples e direto: o atacante provavelmente precisa convencer a vítima a abrir um arquivo ou visitar um recurso malicioso preparado sob condições específicas (versão de componente, estado de memória, ou combinação de recursos do documento/página) para que a corrupção de memória seja explorável de forma confiável.

A CISA confirma exploração ativa no mundo real (por isso a entrada no KEV, adicionada em novembro de 2021), mas não indica se está associada a campanhas de ransomware ('Known To Be Used in Ransomware Campaigns: Unknown'). Não encontramos, nas fontes revisadas, um writeup técnico público detalhando o payload ou a cadeia de exploração — o que é comum para vulnerabilidades de memória do MSHTML, cujos detalhes de weaponização raramente são divulgados por quem os usa.

Impacto total é alto: confidencialidade, integridade e disponibilidade completas (C:H/I:H/A:H), consistente com execução de código arbitrário no contexto do usuário que abriu o conteúdo malicioso.

A ação recomendada pela própria CISA é 'aplicar atualizações conforme instruções do fornecedor' — a Microsoft corrigiu a falha nas atualizações de segurança de junho de 2021 (Patch Tuesday), que cobriram todas as versões listadas de Windows 10 (1507, 1607, 1809, 1909, 2004, 20H2, 21H1) e Windows 7. Os números de KB específicos por versão constam do advisory do MSRC, mas não estão detalhados nas fontes que revisamos — confirme o KB exato para sua build antes de considerar corrigido.

Como paliativo, para ambientes que não podem atualizar imediatamente, a mitigação histórica contra falhas do motor MSHTML/Trident costuma envolver restringir ou desabilitar o controle ActiveX/WebBrowser em zonas não confiáveis via política de grupo, e bloquear a execução de conteúdo HTML embutido em anexos de e-mail e documentos de origem externa. Isso reduz superfície, mas não substitui o patch — o componente MSHTML continua presente e invocável por outros caminhos (Office, apps legados) mesmo com IE desativado como navegador padrão.

Desabilitar o Internet Explorer como aplicativo não elimina o risco, porque o MSHTML é uma biblioteca do sistema (mshtml.dll) reutilizada por terceiros — esse é o mito mais comum sobre esta classe de CVE.

Não há, nas fontes disponíveis, indicadores de comprometimento (IOCs), assinaturas ou padrões de log publicamente divulgados pela Microsoft ou pela CISA para esta CVE específica. A entrada no KEV confirma exploração real, mas sem detalhamento técnico de como identificar tentativas — trate a ausência de sinal público como informação relevante: monitorar processos que hospedam o WebBrowser control (iexplore.exe, e processos de aplicações que embutem MSHTML) com comportamento anômalo pós-abertura de documento/página é a única orientação genérica aplicável, não uma detecção específica desta falha.