Windows MSHTML Platform Spoofing Vulnerability

Falha de spoofing na plataforma MSHTML do Windows (o motor de renderização herdado do Internet Explorer, ainda embutido no sistema e usado por diversas aplicações). Permite a um atacante enganar a interface exibida ao usuário para obter divulgação de informação, mas exige que a vítima interaja com um arquivo ou link malicioso — não é execução remota nem comprometimento silencioso. Está no catálogo KEV da CISA com confirmação de exploração ativa, o que eleva sua prioridade de correção independentemente do CVSS moderado (6.5).

A CVE-2024-43573 é classificada pela CISA sob CWE-79 (Improper Neutralization of Input During Web Page Generation / Cross-Site Scripting), aplicado aqui ao contexto do MSHTML — o motor que renderiza conteúdo HTML/DOM ainda presente no Windows para compatibilidade com aplicações legadas e com o 'modo IE' de alguns navegadores. O vetor CVSS (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N) indica exploração remota, sem privilégios, sem necessidade de configuração especial no atacante, mas com interação obrigatória da vítima, e impacto restrito à confidencialidade — não há comprometimento de integridade ou disponibilidade.

A Microsoft classifica a falha como 'spoofing', o que no contexto do MSHTML normalmente significa que conteúdo ou uma origem controlada pelo atacante consegue ser exibida de forma a mascarar sua verdadeira procedência — por exemplo, fazendo a interface do sistema ou de um componente que usa MSHTML apresentar informação de origem, URL ou identidade diferente da real. O CWE-79 associado sugere que o mecanismo subjacente envolve neutralização insuficiente de conteúdo ao gerar a página renderizada, permitindo que dados fornecidos pelo atacante sejam interpretados de forma que altere a apresentação vista pelo usuário.

A Microsoft não publicou, no advisory consultado, detalhes profundos sobre o componente exato do código ou o fluxo interno que gera a falha — o texto do MSRC é sucinto, como é comum em spoofing vulnerabilities dessa família. Isso é consistente com o histórico recente de outras CVEs do MSHTML (2024) exploradas em cadeias de infecção que abusam de arquivos de atalho ou de conteúdo que força a abertura em modo de compatibilidade IE, mas não há confirmação pública, nas fontes disponíveis, de que esse seja o mecanismo específico desta CVE — trate essa analogia como contexto de família, não como fato comprovado para o CVE-2024-43573.

O pré-requisito central é interação do usuário (UI:R): a vítima precisa abrir, clicar ou de alguma forma acionar um artefato malicioso (documento, link ou arquivo) para que o componente MSHTML processe o conteúdo forjado. Não há indicação de que a falha seja explorável sem essa ação, o que reduz o risco de exploração massiva automatizada e desloca o vetor para campanhas de phishing ou engenharia social direcionadas.

A CISA confirma exploração ativa no mundo real ao incluir a CVE no catálogo KEV, com prazo de mitigação definido para 29/10/2024 (adicionada em 08/10/2024) — mas o catálogo não detalha o ator de ameaça, a campanha ou a cadeia de exploração completa. O impacto declarado é unicamente de confidencialidade (C:H, I:N, A:N), compatível com um cenário em que a vítima é induzida a confiar em conteúdo, URL ou identidade falsificada e acaba expondo informação sensível (por exemplo, credenciais ou dados enviados a um destino que parece legítimo).

A severidade CVSS de 6.5, mais baixa que muitas RCEs, não deve ser confundida com baixo risco prático: por estar em exploração ativa e ser trivial de disparar (baixa complexidade de ataque, sem privilégios), ela é um vetor de entrada eficiente em campanhas de phishing corporativo, especialmente combinada com engenharia social bem construída.

A correção oficial é a aplicação da atualização de segurança da Microsoft referente a outubro de 2024, que cobre todas as versões listadas como afetadas. Não há, nas fontes consultadas, número de KB ou build específico de correção documentado — para aplicar a correção certa em cada versão (Windows 10 1507/1607/1809/21H2/22H2, Windows 11 21H2/22H2/22H3), consulte diretamente a página do MSRC para a CVE, que lista os updates por versão de build.

Como a exploração depende de interação do usuário, controles compensatórios reais incluem treinamento e filtragem de phishing, bloqueio de tipos de arquivo/anexos usados como vetor de entrega (quando esse dado for confirmado pelo fornecedor) e políticas de restrição ao uso do modo de compatibilidade Internet Explorer em navegadores corporativos. Nenhuma dessas medidas substitui o patch — são paliativos até a atualização ser aplicada.

Não há mitigação de configuração publicada pela Microsoft (como desativar um recurso específico) registrada nas fontes disponíveis; a única ação formalmente reconhecida é instalar a atualização. Ambientes que não conseguem atualizar dentro do prazo do KEV (29/10/2024, para agências federais dos EUA, mas referência útil para qualquer organização) devem tratar isso como risco ativo e priorizar patch ou isolamento do sistema afetado.

Não há assinatura ou indicador de comprometimento público e confiável associado especificamente a esta CVE nas fontes disponíveis. Como o vetor depende de interação do usuário com conteúdo malicioso renderizado via MSHTML, times de SOC podem monitorar de forma genérica: abertura de arquivos ou links suspeitos que acionem componentes legados do Internet Explorer/MSHTML, tentativas de renderização de conteúdo HTML fora de navegadores modernos, e alertas de EDR relacionados a processos que hospedam o motor MSHTML (por exemplo, mshtml.dll carregado por processos atípicos). Na ausência de IOCs oficiais, a defesa prática é reforçar filtragem de e-mail/phishing e garantir que o patch de outubro de 2024 esteja aplicado.