CVE-2018-4878

Falha de use-after-free no Primetime SDK do Adobe Flash Player, no código que trata objetos listener do media player. Foi explorada como 0-day em campanhas de janeiro e fevereiro de 2018 — atribuídas pela Cisco Talos ao grupo Group 123 (documentos armadilhados) e por outros pesquisadores a malspam massivo — antes que a Adobe lançasse a correção. Está no catálogo KEV da CISA, mas o vetor CVSS revisto (AV:L, UI:R) reflete que a exploração real depende de o usuário abrir um documento ou arquivo malicioso, não de um ataque remoto sem interação.

A vulnerabilidade é um use-after-free (CWE-416) na parte do Flash Player responsável pelo Primetime SDK, especificamente na forma como o media player gerencia objetos listener registrados para eventos de reprodução. Um ponteiro para um objeto listener é liberado (freed) mas continua acessível através de outra referência interna do player; quando o código volta a usar esse ponteiro pendente (dangling pointer), o atacante que controlar o conteúdo da memória realocada naquele espaço consegue corromper estruturas do heap e desviar o fluxo de execução.

O atacante controla o conteúdo de um arquivo SWF (ou de um objeto Flash embutido em outro formato de documento) capaz de acionar a sequência de criação/destruição/reuso do listener na ordem exigida para vencer a corrida entre a liberação da memória e seu reaproveitamento — o padrão clássico de exploração de UAF em Flash via manipulação de heap. A cadeia completa de exploração descrita por pesquisadores (Talos, Morphisec, McAfee) envolvia ainda contornar mitigações de proteção de memória do próprio Flash Player, o que elevava a complexidade técnica do exploit em relação a um simples PoC de crash.

O CVSS 3.1 usado aqui (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H, base 7.8) é uma revisão — discutida publicamente no repositório de enriquecimento de vulnerabilidades da CISA — que corrige pontuações antigas de várias CVEs de Flash, inclusive esta, que estavam marcadas como UI:N e 'Automatable: yes' de forma exagerada. A CISA reclassificou como UI:R (exige interação do usuário) e Automatable:no, e discutiu inclusive rebaixar para AV:L, reconhecendo que o vetor real de exploração é local ao processo do usuário que abre um arquivo, não um ataque de rede automatizável em massa.

O vetor observado em campanhas reais foi entrega de conteúdo Flash malicioso embutido em documentos (a Talos documentou uso por 'Group 123' em ataques com documentos, e outros relatos mencionam formatos de escritório e HWP) ou distribuído via malspam massivo (Morphisec documentou uma campanha de spam com anexos maliciosos explorando esta CVE). Há também PoCs públicos de drive-by via Internet Explorer que hospedam o exploit em uma página e dependem de o Flash Player do navegador estar desatualizado — um repositório público (vysecurity/CVE-2018-4878) distribui um script de Aggressor para Cobalt Strike que automatiza esse cenário de entrega, e outro repositório (InQuest) preserva amostras reais de SWF e documentos usados nos ataques observados.

Em todos os casos documentados, a exploração exige que a vítima execute uma ação: abrir o documento anexado, clicar num link, ou visitar uma página com o objeto SWF malicioso — daí o UI:R no vetor CVSS. Não há indício de exploração sem interação do usuário ou de ataque puramente remoto contra um serviço exposto. O resultado bem-sucedido é execução de código arbitrário no contexto do processo do Flash Player/navegador, tipicamente usado como estágio inicial para baixar e executar um payload adicional (nas campanhas documentadas, isso incluía malware de acesso remoto).

A exploração ativa in-the-wild ocorreu antes da correção estar disponível (janeiro/fevereiro de 2018), o que motivou a entrada no catálogo KEV. Depois da correção, o interesse do lado ofensivo migrou majoritariamente para os PoCs públicos e para ambientes legados que ainda rodam Flash Player não corrigido — o risco remanescente hoje está concentrado nesses sistemas desatualizados, já que o Flash Player como plataforma foi descontinuado pela Adobe.

A correção oficial é atualizar o Adobe Flash Player para a versão 28.0.0.161 ou posterior, conforme o boletim APSB18-03 da Adobe. Distribuições e integradores que empacotavam o plugin (como o pacote flash-plugin do Red Hat) publicaram atualizações equivalentes na mesma janela (RHSA-2018:0285, também para 28.0.0.161).

Como paliativo, na ausência de atualização imediata: desabilitar ou remover o plugin Flash do navegador, bloquear a execução de conteúdo SWF por política de grupo/configuração do navegador, e bloquear o download/execução de documentos com objetos Flash embutidos vindos de fontes não confiáveis (filtro de anexos em e-mail, dado que malspam foi um vetor observado). Nenhuma dessas medidas corrige a falha — apenas reduz a superfície de exposição enquanto o componente vulnerável permanece instalado.

O que não funciona como mitigação real: confiar em sandboxing do navegador ou em 'click-to-play' do Flash como barreira suficiente — a própria exploração documentada dependia de interação do usuário justamente porque esses controles de UI já existiam, e o exploit contornava proteções de memória do processo, não apenas a política de execução. Hoje, o controle definitivo é a remoção completa do Flash Player, já descontinuado pela Adobe desde o fim de 2020 e sem suporte em navegadores modernos.

Não há assinatura de rede confiável e específica para esta CVE isoladamente — a exploração viaja dentro de conteúdo SWF ou de documentos com objetos Flash embutidos, cujo tráfego de entrega (e-mail com anexo, HTTP servindo o SWF) se parece com qualquer outra campanha de malware via documento malicioso. Sinais úteis incluem: processos de plugin do Flash (ou do navegador/Office hospedando o plugin) gerando processos filhos inesperados (shell, downloader), presença de arquivos SWF anexados a e-mails ou embutidos em documentos de Office/HWP recebidos de fontes externas, e amostras cujo hash corresponda às publicadas por pesquisadores (Talos, InQuest) das campanhas de janeiro/fevereiro de 2018.

Como indicador de exposição, mais confiável que qualquer assinatura de exploração: inventariar versões do Flash Player ainda instaladas (anteriores a 28.0.0.161) — dado que o componente está descontinuado, a mera presença dele em endpoints já é o sinal de risco relevante hoje, independente de tentativa de exploração observada.