CVE-2017-0261

Vulnerabilidade de use-after-free (CWE-416) no Microsoft Office que permite execução remota de código quando a vítima abre um documento malicioso. Está no catálogo KEV da CISA com exploração confirmada em ambiente real, e o CVSS 7.8 já reflete a exigência de interação do usuário (abrir o arquivo) — não é um vetor de rede sem toque humano.

A falha é um use-after-free: o Office libera um objeto na memória e, em seguida, uma rotina de processamento de conteúdo do documento continua referenciando esse objeto já liberado. Um atacante que controla a estrutura interna do arquivo pode manipular o heap para que, no momento em que o Office acessa o objeto 'morto', a região de memória já tenha sido realocada com dados controlados por ele, sequestrando o fluxo de execução.

A Microsoft não detalhou publicamente qual componente exato de parsing (RTF, OLE, campo embutido etc.) contém a falha — o advisory da MSRC é sucinto, como é padrão nesses boletins. O vetor AV:L no CVSS 3.1 indica que a exploração se completa localmente, no contexto do processo do Office, e não via rede diretamente: o disparo inicial é a abertura do arquivo, mas a corrupção de memória e o desvio de execução ocorrem no processo local da vítima.

O atacante controla o conteúdo do documento entregue à vítima — layout de objetos, campos, estruturas internas — o suficiente para orquestrar a sequência de alocação/liberação/realocação necessária para o UAF. Não há indicação nas fontes disponíveis de que a falha dependa de macros ou de configuração não padrão do Office; o gatilho é a abertura do documento em si.

O vetor primário é um documento do Office malicioso entregue por e-mail (phishing) ou outro meio de distribuição de arquivo, explorando a exigência de interação do usuário (UI:R) — a vítima precisa abrir o arquivo. Não há indicação de necessidade de autenticação prévia, privilégios elevados ou configuração não padrão do produto; a condição real é apenas convencer o usuário a abrir o documento.

A CISA classifica a exploração como confirmada (entrada no catálogo KEV, adicionada em 2022-03-03, com prazo de correção definido para 2022-03-24 para agências federais dos EUA), e há PoC pública catalogada. Isso indica que, mesmo sendo uma CVE de 2017, ela continua sendo usada ou testada em campanhas ativas até anos depois — perfil típico de vulnerabilidades de Office exploradas em ataques direcionados via documento weaponizado.

O resultado final da exploração bem-sucedida é execução de código no contexto do usuário que abriu o documento, com o mesmo nível de privilégio dessa conta — por isso o CVSS marca C:H/I:H/A:H: comprometimento total de confidencialidade, integridade e disponibilidade dentro do escopo de permissões do usuário.

A recomendação do fornecedor e da CISA é aplicar a atualização de segurança da Microsoft para as versões afetadas — Office 2010 SP2, Office 2013 SP1 e Office 2016 — conforme publicada no boletim de segurança correspondente de maio de 2017. As fontes consultadas não trazem o número exato do KB/atualização; confirme no MSRC/Windows Update qual pacote cumulativo cobre esta CVE antes de considerar o ambiente corrigido.

Como controle compensatório quando a atualização não é possível de imediato: bloquear ou restringir a abertura de anexos de Office de origem não confiável (gateway de e-mail, políticas de anexo), usar o Office em modo Protected View forçado para arquivos vindos da internet, e evitar abrir documentos recebidos de remetentes não verificados. Esses controles reduzem a superfície mas não eliminam o risco — o UAF continua presente no binário até o patch ser aplicado.

O que não funciona como mitigação: desabilitar macros não tem efeito aqui, pois a falha não depende de VBA/macro — é uma corrupção de memória no parsing/renderização de objetos do documento, disparada só pela abertura do arquivo.

As fontes disponíveis não trazem assinaturas, IOCs ou padrões de log específicos associados à exploração desta CVE. Como o gatilho é um documento malicioso e a corrupção ocorre em memória local no processo do Office, sinais de rede tradicionais não se aplicam diretamente; o que vale monitorar é comportamento anômalo do processo do Office após abertura de anexo (spawn de processos filhos inesperados, conexões de rede iniciadas por WINWORD.EXE/EXCEL.EXE/etc., ou crashes recorrentes do Office), e telemetria EDR para exploração de memória. Não há sinal de detecção confiável e documentado publicamente nas fontes pesquisadas — isso em si é uma lacuna relevante para quem depende de detecção baseada em assinatura.