CVE-2017-11774

Falha de bypass de recurso de segurança no Microsoft Outlook (2010 SP2, 2013 SP1/RT SP1 e 2016) que permite escapar do sandbox de scripting do Internet Explorer usado pela funcionalidade 'Home Page' de pastas do Outlook e executar comandos arbitrários no contexto do usuário logado. Não é um vetor de acesso inicial: exige que o atacante já consiga alterar a propriedade de página inicial de uma pasta da caixa de correio da vítima (tipicamente com credenciais de e-mail já comprometidas), o que a torna mais relevante como técnica de pós-exploração/persistência do que como 'RCE remoto' puro, apesar do CVSS alto.

O Outlook permite configurar uma 'Home Page' para qualquer pasta de e-mail: uma URL HTTP/HTTPS arbitrária que é renderizada dentro do processo do Outlook usando o motor do Internet Explorer (ieframe.dll) sempre que a pasta é aberta. Essa página pode incluir o controle ActiveX OutlookViewCtl (CLSID 0006F063-0000-0000-C000-000000000046), que embute conteúdo real da caixa de correio na tela renderizada.

O ieframe aplica as zonas de segurança padrão do IE, então scripts dentro da home page não conseguem instanciar objetos perigosos como Wscript.Shell diretamente — tentativas resultam em 'ActiveX component can't create object'. A falha, demonstrada pela SensePost, está em que o próprio OutlookViewCtl expõe uma propriedade OutlookApplication, que devolve um handle para o objeto Application do Outlook fora do sandbox do ieframe. A partir desse handle, o método Application.CreateObject('Wscript.Shell') funciona sem restrição, porque a criação do objeto ocorre no contexto do processo Outlook (fora da zona de segurança do IE), não no contexto sandboxed da página web.

Essencialmente é uma falha de projeto na superfície do modelo de objetos exposto ao script hospedado (CWE-119 'improper restriction of operations within the bounds of a memory buffer' é a categoria atribuída pela CISA no KEV, embora o mecanismo descrito pelos pesquisadores seja mais preciso como escape de sandbox de scripting via modelo de objetos COM/ActiveX do que corrupção de memória clássica). A descrição oficial da Microsoft ('how Microsoft Office handles objects in memory') é genérica e não detalha esse caminho de escape.

O atacante controla o conteúdo HTML/VBScript/JScript da home page e a URL configurada na propriedade da pasta; a partir daí controla integralmente o comando executado via Wscript.Shell.Run.

A exploração documentada publicamente (SensePost, ferramenta Ruler) segue este fluxo: o atacante já possui credenciais válidas de uma caixa de correio Exchange (obtidas por phishing, spraying, reuso de senha etc.) e usa protocolos como EWS/MAPI para alterar a propriedade Home Page de uma pasta (por exemplo, a Caixa de Entrada) apontando para uma página HTML hospedada em servidor controlado pelo atacante. Quando a vítima abre essa pasta no cliente Outlook desktop, a página é renderizada e o script embutido usa o handle ViewCtl.OutlookApplication.CreateObject('Wscript.Shell') para executar comandos no host da vítima.

Essa técnica foi a terceira de uma sequência de vetores usados pela ferramenta Ruler para transformar acesso a caixa de e-mail em execução de código no endpoint, depois que a Microsoft já havia corrigido os vetores anteriores baseados em Regras (Rules) e Formulários (Forms) do Outlook. Por isso o vetor CVSS registrado (AV:L/AC:L/PR:N/UI:R) reflete que a etapa crítica ocorre localmente no cliente Outlook e exige interação do usuário (abrir a pasta) — não é um ataque de rede não autenticado.

A CVE está no catálogo KEV da CISA, confirmando exploração ativa observada, mas as fontes consultadas não detalham atribuição a grupo específico nem campanha; a data de inclusão no KEV (novembro de 2021) é bem posterior à publicação original (2017), o que é comum para vulnerabilidades reaproveitadas como técnica de persistência/pós-exploração em intrusões observadas anos depois do patch.

A correção veio nas atualizações da Microsoft de outubro de 2017 (Patch Tuesday), que restringiram a exposição do objeto OutlookApplication ao script hospedado na home page, fechando o escape de sandbox. As fontes analisadas não trazem o número exato do boletim/KB específico desta CVE (o link oficial do MSRC referenciado está fora do ar); o número de KB não deve ser citado sem confirmação — consulte o Security Update Guide da Microsoft para a build exata de Outlook 2010 SP2, 2013 SP1/RT SP1 ou 2016 em uso.

Como controle compensatório quando o patch não pode ser aplicado imediatamente: restringir a capacidade de alterar a propriedade Home Page de pastas via EWS/MAPI (reduzindo o quanto uma credencial de e-mail comprometida pode ser convertida em execução local), reforçar a proteção de credenciais de conta de e-mail (MFA, detecção de login anômalo), e monitorar/alertar sobre alterações na configuração de home page de pastas de caixas de correio. Isso não elimina a falha, apenas reduz a probabilidade da pré-condição (comprometimento de credenciais) ser convertida em execução de código.

O que não funciona como mitigação: acreditar que a falha exige exploração remota não autenticada — o vetor real depende de o atacante já ter alguma forma de controle sobre a caixa de correio da vítima, então tratar isso apenas como 'patch e pronto' ignora que a causa raiz de exposição (credenciais de e-mail fracas ou vazadas) continua sendo o vetor de entrada explorado por ferramentas como Ruler.

Do lado de e-mail/servidor: monitorar chamadas EWS/MAPI que alterem a propriedade de Home Page de pastas de caixas de correio, especialmente definindo URLs HTTP/HTTPS externas não usuais, e correlacionar com autenticações anômalas na mesma conta. Do lado de endpoint: alertar sobre outlook.exe gerando processos filhos como cmd.exe, wscript.exe, powershell.exe ou outros interpretadores logo após a abertura de uma pasta de e-mail — esse padrão de processo é a assinatura comportamental típica da cadeia Ruler/Home Page.

Não há um indicador de rede único e confiável, já que a URL da home page é definida pelo atacante e pode ser hospedada em qualquer infraestrutura; a ausência de sinal de rede específico é, em si, informação relevante — a detecção depende mais de telemetria de endpoint e de auditoria de configuração de caixa de correio do que de assinaturas de tráfego.