CVE-2012-1889

Falha de memória não inicializada no Microsoft XML Core Services (MSXML) 3.0, 4.0, 5.0 e 6.0, explorável remotamente via páginas web maliciosas processadas pelo Internet Explorer ou via documentos do Office que usam o componente. Importa porque foi explorada em ataques reais como zero-day antes de existir patch oficial — a Microsoft publicou primeiro um advisory de mitigação e só depois, quase um mês depois, o bulletin com correção definitiva.

A vulnerabilidade está no MSXML, o parser/engine XML da Microsoft usado por Internet Explorer, várias versões do Office (2003, 2007), SharePoint Server 2007 e Groove. O componente acessa posições de memória não inicializadas durante o processamento de objetos — a Microsoft descreveu a correção como uma mudança na forma como o MSXML inicializa objetos em memória antes de usá-los, o que indica uma falha de uso de memória não inicializada (classificada pela CISA sob CWE-119, erro de restrição de operações dentro dos limites de um buffer de memória).

O atacante controla o conteúdo de uma página web (ou de um documento Office) que força o MSXML a instanciar e manipular esses objetos XML de forma que o parser opere sobre memória cujo estado não foi propriamente definido, gerando corrupção. Como o MSXML é acessível via script em páginas HTML (tipicamente através de controles ActiveX/COM expostos ao Internet Explorer) e também é usado internamente por aplicações Office ao processar XML, a superfície de ataque inclui tanto navegação web quanto abertura de documentos.

O resultado da corrupção de memória pode ser execução de código arbitrário com os privilégios do usuário que visualiza o conteúdo malicioso, ou, em caso de falha na exploração bem-sucedida, negação de serviço (crash do processo, geralmente o iexplore.exe ou o processo Office hospedeiro).

O vetor primário é o Internet Explorer: a vítima precisa visitar uma página web especialmente criada — tipicamente via link em e-mail ou mensagem instantânea, já que o atacante não tem como forçar a visita. Um segundo vetor documentado é a entrega via documentos do Office que, ao serem abertos, acionam o processamento MSXML vulnerável. Em ambos os casos há exigência de interação do usuário (UI:R no vetor CVSS), mas não é necessária autenticação nem configuração fora do padrão — qualquer instalação com MSXML nas versões afetadas e IE/Office usando o componente está exposta.

Houve exploração ativa in-the-wild antes da correção oficial: a Microsoft confirmou ataques em curso já no advisory de junho de 2012, e fontes como Google Online Security Blog e pesquisadores de segurança relataram exploits servidos por sites comprometidos e embutidos em documentos Office circulando antes do patch de julho. Existe código de exploração público confiável e módulo Metasploit, o que reduz a barreira técnica para reprodução do ataque — a CISA re-adicionou a falha ao catálogo KEV em 2022, reforçando que ela continua sendo usada/testada em campanhas mesmo mais de uma década depois, provavelmente contra sistemas legados não corrigidos.

O resultado bem-sucedido é execução de código arbitrário no contexto do usuário vítima — controle do IE ou do processo Office, e a partir daí, dependendo de privilégios locais, possível movimento lateral ou persistência na máquina comprometida.

A correção definitiva é o MS12-043 (KB2722479 como bulletin, com atualizações específicas por componente: KB2719985 para MSXML 3.0/6.0 em várias plataformas, KB2721691 para MSXML 4.0, KB2721693 para MSXML 6.0 em Windows XP x64, Server 2003 e Server 2008). Antes do patch, entre 12 de junho e 10 de julho de 2012, a Microsoft e o US-CERT recomendaram paliativos: aplicar o 'Fix it' descrito no KB2719615 (que usa o Application Compatibility Database para corrigir o comportamento do MSXML em runtime), desabilitar Active Scripting nas zonas Internet e Intranet Local do Internet Explorer, e usar o EMET para mitigar a exploração via DEP/ASLR/SEHOP.

Esses paliativos reduzem mas não eliminam o risco — desabilitar Active Scripting quebra funcionalidade de muitos sites legítimos, e o Fix it é uma correção não oficial de runtime, não substitui o patch. O custo real da mitigação temporária é funcional (perda de scripting) e operacional (aplicar e depois remover o Fix it ao instalar o update definitivo).

Hoje, mais de uma década após a divulgação, a única ação sensata é garantir que nenhum sistema Windows/Office legado sem os updates de julho de 2012 esteja em produção; sistemas com Windows XP/Vista/Server 2003 fora de suporte e sem patch equivalente devem ser isolados de rede ou descomissionados — não há mitigação de configuração que substitua a atualização em ambientes modernos.

Não há assinatura de rede única e confiável documentada nas fontes disponíveis — a exploração ocorre via manipulação de objetos XML processados pelo MSXML embutido em páginas web ou documentos Office, sem payload de rede padronizado publicamente descrito. Sinais indiretos a observar em ambientes legados: crashes recorrentes do iexplore.exe ou de processos Office (winword.exe, etc.) correlacionados com acesso a sites externos ou abertura de anexos, e alertas de soluções de proteção que tenham assinaturas específicas para CVE-2012-1889 fornecidas via o programa MAPP da Microsoft a parceiros de segurança antes do patch.