CVE-2018-0798

Falha de corrupção de memória no Equation Editor (EQNEDT32.EXE), o componente do Microsoft Office usado para renderizar fórmulas matemáticas, presente sem alterações desde o Office 2007 até o Office 2016. Um documento malicioso com um objeto OLE de equação manipulado pode corromper memória e executar código arbitrário no contexto do usuário que abre o arquivo. Está no catálogo KEV da CISA por exploração confirmada e costuma aparecer encadeada com a CVE-2018-0802, outra falha no mesmo binário corrigida no mesmo lote.

O Equation Editor é um executável separado (EQNEDT32.EXE) que o Office invoca via OLE quando um documento contém um objeto de equação. A Microsoft manteve esse binário compilado há décadas, sem recompilação com as proteções modernas de mitigação de exploração (ASLR, entre outras) que o resto do Office já usava. A CVE-2018-0798 é catalogada pela CISA como CWE-787 (out-of-bounds write): o parser do formato de equação escreve dados fora dos limites de uma estrutura na memória ao processar um objeto malformado, corrompendo o heap ou a pilha do processo.

O vetor é um documento do Office (doc, docx, rtf ou similar) contendo um objeto OLE de equação construído para acionar a escrita fora dos limites. A exploração exige que a vítima abra o arquivo — CVSS marca UI:R (interação do usuário) — mas não exige autenticação nem configuração não padrão: qualquer instalação das versões afetadas do Office com o Equation Editor habilitado (que era o padrão) está exposta. Não é necessário duplo clique no objeto de equação em si; a simples renderização do documento já invoca o EQNEDT32.EXE e processa a estrutura maligna.

A CISA registra exploração ativa confirmada e nota explicitamente que a falha é conhecida por ser encadeada com a CVE-2018-0802, outra vulnerabilidade de memória no mesmo componente — ou seja, campanhas reais frequentemente combinam as duas para aumentar a confiabilidade do RCE. Como o EQNEDT32.EXE não tinha ASLR, a exploração de memória corrompida é significativamente mais previsível do que em componentes modernos do Office, o que explica a popularidade dessa família de vulnerabilidades em campanhas de phishing com documentos anexados, sobretudo entre 2017 e 2019.

A correção oficial veio via atualização de segurança da Microsoft no ciclo de patches de janeiro de 2018, aplicável a Office 2007 (SP3), Office 2010 (SP2), Office 2013 (SP1) e Office 2016. Manter o Office atualizado com os patches desse período e posteriores resolve a falha. Como paliativo mais amplo — e é o que a própria Microsoft passou a recomendar dado o histórico de falhas recorrentes nesse binário legado — é possível desabilitar o registro do Equation Editor no sistema, impedindo que o COM instancie o EQNEDT32.EXE mesmo que um documento malicioso tente invocá-lo; isso quebra a renderização de equações antigas em documentos legítimos, então tem custo funcional real para quem depende desse recurso.

O projeto 0patch documentou e ofereceu microcorreções extraoficiais para binários fora de suporte (referenciado no blog citado), útil como paliativo em ambientes que não podem aplicar o patch oficial da Microsoft, mas trata-se de correção de terceiros, não do fornecedor. Não funciona como mitigação: apenas desabilitar a pré-visualização de anexos de e-mail — o objeto OLE é processado na abertura completa do documento, não só na prévia, então esse controle reduz mas não elimina a superfície de exploração.

Em nível de host, o sinal mais confiável é o processo EQNEDT32.EXE gerando processos filho inesperados (cmd.exe, powershell.exe, mshta.exe, ou binários fora do diretório do Office) imediatamente após a abertura de um documento — esse padrão é característico de exploração do Equation Editor nessa geração de CVEs relacionadas. Em nível de e-mail/gateway, procurar anexos Office/RTF com objetos OLE de equação incomuns ou estruturas malformadas que fogem do padrão de documentos legítimos. Não há assinatura de rede confiável, já que a exploração ocorre inteiramente no processamento local do arquivo após entrega por e-mail, download ou mídia removível.