CVE-2015-2502

Falha de corrupção de memória no Internet Explorer (versões 7 a 11) que permite execução remota de código a partir de uma página web maliciosa. Foi corrigida por um patch de emergência fora do ciclo normal (MS15-093) porque já estava sendo explorada ativamente em agosto de 2015 antes da correção existir — daí sua entrada no catálogo KEV da CISA mais de seis anos depois, quando o catálogo foi criado.

A vulnerabilidade está classificada como CWE-119 (leitura/escrita fora dos limites de um buffer) e decorre de como o motor de renderização do Internet Explorer manipula objetos em memória. A Microsoft descreve o problema genericamente como 'acesso impróprio a objetos em memória', sem detalhar o componente exato (não há indicação pública de qual subsistema — script engine, DOM, ou outro — contém o defeito), o que é típico de boletins da época, quando pouco detalhe técnico era liberado antes de o patch estar amplamente distribuído.

O atacante controla o conteúdo de uma página HTML (ou de um e-mail HTML) servida à vítima. Ao renderizar esse conteúdo, o IE aloca, referencia ou libera um objeto de forma inconsistente, corrompendo o heap de um jeito que pode ser manipulado para redirecionar fluxo de execução. Isso é a classe clássica de use-after-free/type-confusion que dominou os boletins de IE daquela geração — mas a Microsoft não confirmou publicamente qual das duas.

O impacto documentado é execução de código com os privilégios do usuário logado. Se o usuário estiver em conta administrativa, o comprometimento é total do sistema; em conta com privilégios reduzidos, o atacante fica limitado a esse contexto — mas um pesquisador da Core Security apontou que a falha poderia ser encadeada com uma vulnerabilidade de elevação de privilégio separada para escapar dessa limitação, embora isso não seja garantido nem documentado como parte desta CVE especificamente.

Vetor é drive-by: o atacante hospeda um site malicioso ou injeta conteúdo malicioso em site legítimo comprometido (incluindo anúncios ou áreas de conteúdo gerado por usuário), e precisa convencer a vítima a visitá-lo — via link em e-mail, mensageiro instantâneo, ou anexo. A própria Microsoft foi explícita: não há forma de forçar a visualização do conteúdo, só de induzir o clique. Isso corresponde ao UI:R do vetor CVSS — exige interação do usuário, não é 'zero-click'.

Não há pré-requisito de autenticação nem de configuração não padrão: qualquer usuário navegando com IE7 a IE11 sem o patch está exposto, bastando visitar a página armada. A complexidade de exploração em si (construir o exploit de corrupção de memória de forma confiável) é a parte difícil — o boletim já cita exploração in-the-wild em agosto de 2015, o que indica que atacantes qualificados (a descoberta é creditada a um engenheiro de segurança do Google, sugerindo origem em pesquisa de ameaça direcionada) já tinham um exploit funcional antes da correção pública.

Ao ser explorada com sucesso, o resultado final é execução arbitrária de código no contexto do usuário — de comprometimento total (se admin) a acesso limitado (se conta restrita), com possibilidade documentada por terceiros de encadeamento com outra falha de EoP para escalar privilégios.

A correção definitiva é aplicar o boletim MS15-093 / KB3087985 (para IE7 a IE11 em Windows Vista SP2, Windows Server 2008 SP2, Windows 7 SP1, Windows Server 2008 R2 SP1, Windows 8, Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT e Windows RT 8.1) ou KB3081444 no caso de Windows 10 com IE11 (atualização cumulativa que substitui KB3081436 do MS15-079). Qualquer sistema Windows sem suporte estendido nunca recebeu esse patch e permanece vulnerável indefinidamente — não há correção retroativa possível.

Como paliativo antes de aplicar o patch, um pesquisador da Core Security mencionou que o EMET (Enhanced Mitigation Experience Toolkit) da própria Microsoft poderia mitigar o ataque, mas classificou isso como não confirmado — não trate como controle garantido. O controle compensatório real e comprovado é reduzir a superfície: restringir o uso do IE a sites confiáveis via zonas de segurança, desabilitar ActiveX/scripting em zonas não confiáveis, ou migrar navegação para outro motor não afetado — a Microsoft confirmou que o Edge não era vulnerável a esta falha. Rodar com conta sem privilégios administrativos não elimina o risco, mas reduz o impacto máximo, conforme reconhecido no próprio boletim.

O que não funciona: manter Windows Server em produção sem patch por considerar severidade 'Moderada' — essa classificação reflete apenas a configuração restrita padrão de servidores (IE com Enhanced Security Configuration), não ausência de risco; se um administrador navega na web a partir do servidor, o risco é o mesmo de um cliente.

As fontes disponíveis não trazem assinaturas de rede, hashes de exploit ou indicadores de comprometimento específicos publicados pela Microsoft ou por pesquisadores para esta CVE — apenas confirmação de exploração in-the-wild em agosto de 2015 e crédito de descoberta a um engenheiro de segurança do Google. Não há sinal confiável e documentado publicamente para retroativamente identificar tentativas de exploração desta falha específica; times de resposta a incidente da época dependiam de telemetria de endpoint (crashes do processo iexplore.exe com padrões de corrupção de heap) mais do que de assinaturas de tráfego.