CVE-2015-3043

Vulnerabilidade de corrupção de memória (CWE-787, escrita fora dos limites) no Adobe Flash Player, corrigida no boletim APSB15-06 de abril de 2015 junto com quase vinte outras CVEs do mesmo lote. Foi explorada ativamente in-the-wild antes da correção, o que a colocou no catálogo KEV da CISA — mas hoje sua relevância prática é quase nula porque o Flash Player está descontinuado desde dezembro de 2020 e não executa mais SWF em nenhum navegador ou sistema atualizado.

A Adobe não divulgou detalhes técnicos do vetor específico ('unspecified vectors'), padrão da época para bugs do Flash Player corrigidos em lote. O CWE-787 associado pela CISA indica escrita fora dos limites de um buffer, provavelmente dentro do parser/renderer de conteúdo SWF ou da ActionScript Virtual Machine, que processa estruturas de dados embutidas em arquivos SWF controladas pelo atacante.

O boletim APSB15-06 agrupou essa falha com CVE-2015-0346 até CVE-2015-3044 — praticamente todas descritas como corrupção de memória explorável para execução de código ou negação de serviço via SWF malicioso. Não há diferenciação pública do mecanismo exato de CVE-2015-3043 em relação às demais do lote; distribuidores como Red Hat e Gentoo tratam o conjunto como um único pacote de correção.

O atacante controla o conteúdo do arquivo SWF entregue à vítima. Não há indicação de que a falha exija estado de rede, autenticação ou configuração não padrão do Flash Player — o requisito real é a vítima carregar o conteúdo malicioso, seja embutido em página web, seja em documento.

A exploração observada em abril de 2015 ocorreu via entrega de SWF malicioso, tipicamente embutido em uma página web ou anúncio, exigindo que a vítima visitasse o conteúdo com o Flash Player vulnerável carregado no navegador (drive-by). O vetor CVSS fornecido (AV:L/AC:L/PR:N/UI:R) reflete uma reclassificação feita pela CISA em 2025 (projeto Vulnrichment) que corrigiu classificações antigas e infladas desse e de outros CVEs de Flash: a exploração não é totalmente automatizável a distância sem interação — depende da vítima navegar até o conteúdo malicioso, o que a CISA rebaixou explicitamente para 'Automatable: No' e ajustou a superfície de ataque para local em vez de rede pura.

Não há pré-condição de autenticação, privilégio elevado ou configuração especial do Flash Player. A complexidade de exploração é baixa (AC:L) uma vez que o arquivo SWF malicioso é entregue; o único requisito humano é abrir/visualizar o conteúdo (UI:R). O resultado bem-sucedido é execução arbitrária de código no contexto do processo do Flash Player — geralmente as permissões do plugin dentro do navegador — ou, na falha da exploração, travamento (DoS) por corrupção de memória.

A campanha de abril de 2015 não teve atribuição pública detalhada nas fontes revisadas; o registro está confirmado no KEV da CISA como exploração ativa conhecida, mas sem indicação de uso em ransomware.

A correção definitiva, publicada pela Adobe em APSB15-06, era atualizar para Flash Player 13.0.0.281 (ramo 13.x), 17.0.0.169 (ramos 14.x a 17.x em Windows e OS X) ou 11.2.202.457 (Linux). Distribuições Linux replicaram essa correção — Red Hat via RHSA-2015:0813 e Gentoo via GLSA 201504-07 — ambas apontando o mesmo alvo de versão 11.2.202.457 para o pacote flash-plugin.

Não havia workaround conhecido no momento da divulgação; o próprio advisory do Gentoo registra explicitamente 'não há workaround conhecido'. Hoje a mitigação real é outra: o Adobe Flash Player atingiu fim de vida em dezembro de 2020, a Adobe bloqueou a execução de conteúdo SWF em suas próprias versões, e a orientação atual da CISA no catálogo KEV é 'o produto impactado está em fim de vida e deve ser desconectado se ainda estiver em uso' — ou seja, não existe mais patch a aplicar, e a única ação válida é remover o Flash Player e qualquer navegador/sistema legado que ainda o carregue.

Não funciona como mitigação manter versões antigas do plugin 'atualizadas até a última release suportada': todas as versões do Flash Player, mesmo as mais recentes já lançadas, estão irremediavelmente obsoletas e sem suporte de segurança.

Não há assinatura pública confiável específica para esta CVE isoladamente, já que a Adobe nunca detalhou o vetor exato e ela foi corrigida junto com quase vinte outras falhas de corrupção de memória no mesmo lote (APSB15-06). Sinais genéricos de exploração de Flash da época incluem crashes do processo do plugin correlacionados com carregamento de conteúdo SWF de origem externa, e telemetria de endpoint mostrando o navegador ou plugin Flash gerando processos filhos inesperados após visitar uma página. Hoje, o sinal mais relevante de risco não é log de exploração, mas a simples presença de Flash Player instalado e habilitado em qualquer sistema — indicativo suficiente de exposição, independentemente de tentativa de ataque específica.