CVE-2015-2424

Corrupção de memória no parser de documentos do Microsoft Office (Word e PowerPoint) que permite execução remota de código quando a vítima abre um arquivo malicioso. Corrigida em julho de 2015 pelo boletim MS15-070, a falha só entrou no catálogo KEV da CISA em março de 2022 — quase sete anos depois —, o que indica reaproveitamento tardio do exploit em campanhas reais, não exploração no dia zero da divulgação.

A Microsoft classifica a falha como corrupção de memória ao processar um arquivo do Office especialmente construído; a CISA cataloga o CWE-119 (erro de manipulação de buffer/memória) para ela. O boletim MS15-070 descreve genericamente a correção como ajustes em "como o Office manipula arquivos em memória" — não há, nas fontes públicas disponíveis, detalhamento de qual estrutura interna do formato binário (OLE/records legados de PPT/DOC) dispara a corrupção, nem se é um estouro de heap, use-after-free ou leitura fora dos limites.

O atacante controla o conteúdo do documento entregue à vítima: um arquivo .doc/.ppt (ou .docx/.pptx com componentes legados) malformado é suficiente para acionar o parser vulnerável assim que o Word ou o PowerPoint tentam renderizá-lo. Não há necessidade de macros, scripts ou recursos ativos — o gatilho está no processamento estrutural do próprio formato de arquivo.

O vetor CVSS (AC:L, PR:N, UI:R) confirma que a exploração é de baixa complexidade técnica, não exige privilégios prévios nem autenticação, mas depende de interação do usuário: alguém precisa abrir o arquivo. Isso a diferencia de vulnerabilidades zero-click, mas não reduz o risco em ambientes com engenharia social por e-mail.

O vetor prático é um documento do Office (Word ou PowerPoint, incluindo a variante RT do PowerPoint 2013) entregue por e-mail, download ou compartilhamento de arquivo. A vítima precisa abrir o arquivo com uma versão vulnerável instalada; não há necessidade de habilitar macros ou qualquer configuração fora do padrão — o simples ato de abrir o arquivo malformado é o gatilho.

Sucesso na exploração resulta em execução de código arbitrário no contexto do usuário que abriu o documento. Isso significa que o impacto real depende dos privilégios da conta logada: contas com direitos administrativos sofrem impacto maior; contas restritas limitam o raio de dano, embora ainda permitam persistência, movimento lateral básico ou exfiltração dentro do que a conta acessa.

A presença no catálogo KEV da CISA confirma exploração observada em ambiente real, mas a entrada não especifica campanha, ator ou período da exploração — apenas registra a ação recomendada ("aplicar atualizações conforme instruções do fornecedor") com prazo de correção já vencido desde 24/03/2022. O campo "usado em ransomware" está marcado como desconhecido pela própria CISA, então não há vínculo confirmado com essa classe de ataque.

A correção oficial é o boletim MS15-070 (KB3072620), que distribui atualizações específicas por produto: KB2965283 para PowerPoint 2007 SP3, KB3054996 para Word 2007 SP3, KB3054963 para PowerPoint 2010 SP2, KB3054973 para Word 2010 SP2, KB3054999 para PowerPoint 2013 SP1 (e PowerPoint 2013 RT SP1, via Windows Update), e KB3054990 para Word 2013 SP1. Não há workaround documentado pelo fornecedor além de instalar essas atualizações.

Dado que essas versões do Office estão fora do ciclo de suporte há anos, o cenário mais provável hoje não é a aplicação isolada desse patch, mas a constatação de que a instalação nunca recebeu atualizações de segurança — o que expõe a esse e a dezenas de outros CVEs corrigidos no mesmo período. Migração para uma versão suportada do Office é o único caminho estrutural; aplicar apenas este KB isoladamente em 2024+ não resolve o problema de fundo de rodar software fora de suporte.

Controles compensatórios genéricos para essa classe de ataque (bloqueio de anexos executáveis/documentos legados na borda de e-mail, abertura de documentos externos em ambiente isolado ou visualização restrita) reduzem a superfície de exposição, mas não eliminam a vulnerabilidade — são mitigação de exposição, não correção da falha.

As fontes disponíveis não trazem assinatura, hash de exploit ou indicador de comprometimento específico para essa CVE. Como o gatilho está no processamento estrutural de um arquivo do Office, o sinal mais genérico a observar é o processo do Word ou PowerPoint travando ou gerando um dump de memória (falha de aplicação, não fechamento normal) imediatamente após a abertura de um documento recebido externamente, seguido de processos filhos anômalos gerados pelo winword.exe ou powerpnt.exe — mas isso é indicador de exploração de corrupção de memória em geral, não específico deste CVE. Não há confiabilidade documentada nas fontes para diferenciar esta falha de outras corrigidas no mesmo boletim.