CVE-2012-0767

Falha de Universal Cross-Site Scripting (UXSS) no Adobe Flash Player que permitia a um SWF malicioso executar script ou HTML arbitrário no contexto de origem de qualquer domínio, quebrando a Same-Origin Policy do navegador. A Adobe confirmou exploração ativa em fevereiro de 2012, antes da publicação do patch, o que motivou a inclusão no catálogo KEV da CISA. O CVSS moderado (6.1) reflete a necessidade de interação do usuário, mas o impacto real — sequestro de sessão em qualquer site que a vítima visite via UXSS — é maior do que o score sugere.

A vulnerabilidade está no motor de renderização/execução de SWF do Flash Player e afeta a forma como o plugin aplica isolamento de origem entre conteúdo Flash embutido e a página/domínio que o hospeda. O resultado é uma UXSS (CWE-79 combinado com um erro de validação de origem, CWE-346): um SWF controlado pelo atacante consegue injetar e executar script no contexto de segurança de um domínio diferente do que serviu o próprio SWF, driblando a Same-Origin Policy que normalmente isola scripts entre sites.

A Adobe não detalhou o vetor exato ('unspecified vectors' na descrição oficial), e nenhuma das fontes consultadas (Red Hat, Gentoo, Secunia) traz uma análise de causa raiz linha a linha. O que se sabe com confiança é o efeito: qualquer página capaz de carregar o SWF malicioso — embutido diretamente, via anúncio de terceiros, ou dentro de um documento com objeto Flash incorporado — passa a permitir que o atacante execute JavaScript com os privilégios de outro domínio, incluindo domínios sensíveis onde a vítima tenha sessão autenticada.

O atacante controla o conteúdo do SWF e, por extensão, o script injetado; não controla a URL de destino diretamente, mas explora a falha de isolamento para 'vazar' a execução para o contexto de origem que interessa (por exemplo, o domínio de um webmail ou rede social aberto em outra aba/frame).

O vetor é remoto e não exige autenticação (AV:N, PR:N), mas exige interação do usuário (UI:R) — a vítima precisa carregar uma página, anúncio ou documento contendo o SWF malicioso. Não há indicação nas fontes consultadas de que a falha dependa de configuração não padrão do Flash Player; ela reside na lógica de isolamento de origem do próprio player, então basta ter o plugin vulnerável instalado no navegador (Windows, Mac OS X, Linux, Solaris) ou app afetado no Android.

A CISA confirma exploração ativa registrada em fevereiro de 2012 — anterior à correção, o que caracteriza uso como 0-day no momento da divulgação. As fontes técnicas aqui reunidas (advisories de distribuição) não descrevem a campanha específica nem a cadeia de entrega usada pelos atacantes; portanto não é possível afirmar aqui detalhes de payload, grupo responsável ou setor-alvo sem especular.

O resultado final da exploração é execução de script/HTML arbitrário no contexto de outra origem — o que na prática viabiliza roubo de cookies de sessão, ações em nome da vítima em sites autenticados, ou pivô para outros ataques client-side, sem que o Flash precise comprometer o processo do navegador (não é execução de código nativo, é abuso de confiança entre origens).

A correção é atualizar o Adobe Flash Player: para 10.3.183.15 na linha 10.3.x, ou 11.1.102.62 na linha 11.x, em Windows, Mac OS X, Linux e Solaris; para 11.1.111.6 em Android 2.x/3.x; e para 11.1.115.6 em Android 4.x — conforme publicado pela Adobe no boletim APSB12-03 e refletido nos pacotes das distribuições (ex.: flash-plugin-10.3.183.15 no RHSA-2012:0144). O advisory da Gentoo (GLSA 201204-07) recomenda atualizar para www-plugins/adobe-flash >= 11.2.202.228, que é uma versão posterior consolidando esta e outras correções — não trate isso como o piso mínimo oficial da Adobe, apenas como o alvo de atualização adotado por aquela distribuição.

Não há workaround de configuração conhecido publicado nas fontes consultadas (a própria Gentoo declara explicitamente 'no known workaround'). Como mitigação compensatória genérica quando o patch não pode ser aplicado imediatamente: desabilitar ou remover o plugin Flash do navegador, bloquear a execução de conteúdo Flash por padrão (click-to-play), e impedir carregamento de objetos Flash embutidos em documentos do Office recebidos por e-mail, já que esse foi um vetor comum de distribuição de exploits Flash da época.

Atualizar apenas o navegador ou o sistema operacional não corrige a falha — o componente vulnerável é o Flash Player em si, e ele era distribuído separadamente do navegador na época (plugin NPAPI/ActiveX), então cada instalação (inclusive múltiplas versões em máquinas com vários navegadores) precisa ser verificada e atualizada individualmente.

Não há assinatura de rede ou de log confiável e específica descrita nas fontes consultadas para esta CVE isoladamente — o comportamento (UXSS via SWF) ocorre no lado do cliente, dentro do plugin, sem gerar tráfego distinto de uma requisição normal de conteúdo Flash. Como indício indireto, vale observar SWFs anômalos embutidos em documentos do Office ou em páginas de terceiros/anúncios entregues a usuários específicos, e alertas de EDR/antivírus para exploits Flash datados de fevereiro de 2012 associados ao APSB12-03; nenhuma dessas fontes, porém, fornece IOC (hash, domínio, string) público para esta CVE em particular.