CVE-2013-3163

Vulnerabilidade de corrupção de memória no Internet Explorer 8, 9 e 10 que permite execução remota de código ao visitar uma página maliciosa, sem exigir nenhuma ação além de abrir o site. Faz parte de um pacote de 18 falhas corrigidas na mesma atualização acumulativa (MS13-055) e está no catálogo KEV da CISA por exploração confirmada em campo — mas hoje o risco real é quase zero porque IE e as versões de Windows afetadas estão fora de suporte.

A Microsoft descreve a causa raiz apenas como 'a forma como o Internet Explorer trata objetos na memória' — não há detalhamento técnico público do fornecedor sobre qual componente do motor de renderização (mshtml.dll, na era do IE) ou qual objeto especificamente é afetado, nem se o padrão é use-after-free, buffer overflow ou outro tipo de corrupção. A CISA classifica a falha sob CWE-94 (Code Injection) no catálogo KEV, o que é atípico para memory corruption clássica de IE e sugere possível imprecisão de categorização ou reaproveitamento de metadado — não há confirmação independente do mecanismo exato.

O título do boletim junta CVE-2013-3163 com outras duas CVEs de memória corrompida (CVE-2013-3144 e CVE-2013-3151) resolvidas na mesma atualização, mas a NVD trata as três como vulnerabilidades distintas, cada uma com seu próprio caminho de acionamento dentro do parser HTML/DOM do IE.

O atacante controla o conteúdo de uma página web (HTML/JavaScript) servida ao navegador da vítima. Ao renderizar a página, uma condição de corrupção de memória é acionada, dando ao atacante controle sobre estruturas internas do processo do IE — condição típica para sequestro de fluxo de execução e RCE com as permissões do usuário logado.

O vetor é puramente web: a vítima precisa visitar uma página controlada pelo atacante (ou um site legítimo comprometido/com anúncio malicioso) usando IE 8, 9 ou 10. Não é necessária autenticação, configuração não padrão nem privilégio elevado — só interação do usuário (abrir a página), refletida no vetor CVSS com UI:R. O impacto documentado, quando bem-sucedido, é execução de código com os mesmos direitos do usuário atual; contas com menos privilégios sofrem menos dano, conforme o próprio boletim da Microsoft observa.

A presença no catálogo KEV da CISA confirma exploração ativa em algum momento, mas a data de inclusão (30/03/2023) é uma década posterior à publicação original — típico de vulnerabilidades antigas de IE reaproveitadas em kits de exploração ou cadeias de ataque legadas, não de uma onda de exploração recente. Existe módulo Metasploit e PoC pública, o que reduz a barreira de exploração para quem ainda mantém ambientes vulneráveis rodando.

A CISA não classifica a falha como associada a campanhas de ransomware conhecidas ('Unknown' no campo correspondente do KEV). A ação recomendada pela própria CISA no catálogo é direta: o produto está em fim de vida e deve ser desconectado se ainda em uso — não há tratativa de mitigação além disso.

A correção oficial é a atualização acumulativa do MS13-055 (KB2846071), publicada em 09/07/2013, para as versões de IE e Windows listadas no boletim. Hoje, porém, tanto o Internet Explorer quanto as versões de Windows cobertas pelo boletim (XP, Vista, Server 2003/2008, Windows 7/8 em suas versões da época) estão fora do ciclo de suporte da Microsoft — a atualização em si não resolve o problema de fundo, que é rodar software end-of-life.

A mitigação real e única com custo justificável, segundo a própria orientação da CISA no KEV, é desconectar ou desativar qualquer sistema que ainda dependa do Internet Explorer nessas versões. Não existe patch de segurança contínuo para esse software; aplicar apenas o KB2846071 sem migrar para um navegador e sistema operacional suportados deixa a máquina exposta a todas as vulnerabilidades de IE descobertas depois de 2013.

Não funciona como mitigação: desabilitar apenas JavaScript ou ActiveX de forma parcial, ou confiar em listas de sites confiáveis — a falha está no motor de renderização e pode ser acionada por conteúdo HTML/DOM básico, não depende de scripts avançados documentados publicamente.

Não há assinatura de rede ou padrão de log confiável e público associado especificamente a essa CVE — a Microsoft não publicou detalhes suficientes do mecanismo interno para permitir detecção precisa por IOC. Em ambientes que ainda rodem IE 8-10 sem patch, sinais indiretos de exploração de memory corruption em IE incluem crashes recorrentes do processo iexplore.exe, entradas de Watson/crash dump após visita a sites específicos, e tráfego para domínios de distribuição de exploit kits contemporâneos ao período (2013). Dado que o software está em fim de vida, o controle de detecção mais efetivo hoje é monitorar a própria existência de instâncias de IE nessas versões na rede, não tentar detectar exploração ativa da falha.