CVE-2015-2419

Falha de corrupção de memória no motor de script JScript9, usado pelo Internet Explorer 10 e 11, que permite execução remota de código quando a vítima visita uma página web maliciosa. Está no catálogo KEV da CISA com exploração confirmada em campo, o que eleva a prioridade de correção mesmo décadas após o fim de vida do IE — ambientes legados que ainda dependem do navegador ou de componentes embutidos (WebBrowser control, aplicações internas) seguem expostos.

A vulnerabilidade reside no jscript9.dll, o motor JavaScript usado pelo IE10 e IE11 (o IE9 e anteriores usam o motor jscript.dll mais antigo e não são listados como afetados por esta CVE específica). O CWE associado pelo catálogo KEV é CWE-119, classificação genérica de restrição imprópria de operações dentro dos limites de um buffer de memória — categoria que cobre desde use-after-free até escrita fora de limites em estruturas internas do interpretador.

O boletim MS15-065 da Microsoft agrupa esta falha sob a descrição "modificar como o Internet Explorer, VBScript e JScript tratam objetos em memória", sem detalhar publicamente o mecanismo exato de corrupção (não há, nas fontes disponíveis, um write-up técnico independente que dissecte a cadeia de exploração, tipo de objeto corrompido ou primitiva usada para converter a corrupção em execução de código).

O atacante controla o conteúdo da página web renderizada pela vítima — HTML e JavaScript arbitrários. É esse conteúdo malicioso que dispara a condição de corrupção de memória dentro do parser/interpretador JScript9 durante a execução normal do script.

O vetor é puramente client-side: a vítima precisa abrir uma página web especialmente criada no Internet Explorer 10 ou 11 (CVSS reflete isso com AV:N e UI:R — interação do usuário necessária, sem necessidade de autenticação ou privilégios prévios). Não há pré-condição de configuração exótica; o navegador afetado, em uso normal, já satisfaz o cenário de risco.

A exploração bem-sucedida normalmente exige encadear a corrupção de memória com uma técnica de bypass de mitigações do IE da época (ASLR/DEP), e o próprio boletim MS15-065 lista, entre as correções do pacote, reforços a CFG e ASLR — sinal de que vulnerabilidades desse tipo eram tipicamente combinadas com outras falhas para viabilizar RCE confiável, prática comum em kits de exploração e campanhas direcionadas de 2015.

O fato de estar no catálogo KEV da CISA confirma exploração ativa documentada, mas as fontes consultadas não trazem detalhes sobre qual campanha ou grupo a utilizou, nem a data real da primeira exploração em campo — apenas a data de inclusão no catálogo (2022-03-28), que é retroativa e não corresponde ao momento da exploração original.

A correção oficial é a aplicação do MS15-065 (KB3065822), lançado em 22 de julho de 2015, que corrige o JScript9 e outras vulnerabilidades do IE no mesmo pacote. Não há flag ou configuração de mitigação parcial documentada nas fontes — a única ação recomendada pelo próprio catálogo KEV é "aplicar atualizações conforme instrução do fornecedor".

Como paliativo real para quem não pode aplicar o patch: desabilitar o Active Scripting no IE ou restringir o uso do navegador a zonas de segurança mais restritivas reduz a superfície de ataque, já que a exploração depende de execução de JavaScript. Isso tem custo alto de usabilidade — quebra a maior parte de sites modernos — e não é uma correção, apenas redução de exposição.

O IE10 e IE11 estão fora do ciclo de suporte da Microsoft (o Internet Explorer foi descontinuado); não há novos patches sendo produzidos para essas versões fora do que já foi liberado em 2015. Migrar para um navegador com suporte ativo é a mitigação estrutural, não a aplicação de configurações no IE legado.

Não há, nas fontes consultadas, indicador de comprometimento específico (assinatura de rede, string de exploit, padrão de heap spray) documentado publicamente para esta CVE. Como o vetor é execução de JavaScript malicioso renderizado por página web, o único sinal genérico observável é telemetria de crash do processo do IE (iexplore.exe) associado a jscript9.dll, ou bloqueio por soluções de proteção de exploração (EMET e equivalentes da época); nenhuma dessas fontes confirma padrão de tráfego ou log específico atribuído a campanhas que exploraram esta falha.