CVE-2013-3918
Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Resumo
Falha out-of-bounds write no controle ActiveX InformationCardSigninHelper Class, implementado em icardie.dll, componente do subsistema Windows CardSpace/Information Card presente em versões do Windows de XP a 8.1/Server 2012 R2. É relevante porque foi explorada como zero-day em novembro de 2013, em ataque watering hole atribuído a um grupo de espionagem (linha FireEye 'Operation Ephemeral Hydra'/DeputyDog), entregando um implante que roda só em memória. O vetor exige que a vítima abra, no Internet Explorer, uma página web maliciosa que instancie o controle — não há exploração sem interação do usuário e sem IE como vetor de renderização.
Detalhamento técnico
A vulnerabilidade (CWE-787, gravação fora dos limites) está no controle ActiveX InformationCardSigninHelper Class, hospedado em icardie.dll, parte da infraestrutura de Information Cards/CardSpace do Windows. Quando instanciado pelo Internet Explorer a partir de uma página HTML, o controle processa dados de forma que permite uma escrita além dos limites de um buffer, corrompendo memória do processo do navegador.
Segundo a análise da FireEye (fonte primária da descoberta), o exploit combinava duas falhas: uma vulnerabilidade de vazamento de informação (usada para contornar ASLR/obter endereços de memória) e a falha de acesso a memória fora dos limites no próprio controle ActiveX, que finalmente proporcionava a execução de código. A FireEye reportou exploração afetando IE 7, 8, 9 e 10, e observou uso de msvcrt.dll no encadeamento do exploit.
A Microsoft não descreve publicamente o detalhe interno do bug de memória no bulletin MS13-090; a correção adotada foi definir kill bits para o controle, impedindo que o IE o instancie, em vez de publicar uma reescrita do código do próprio icardie.dll. Isso indica que o fornecedor tratou o problema como 'desligar o componente vulnerável' e não como correção de lógica interna documentada publicamente.
Como é explorada
O ataque documentado em novembro de 2013 foi um watering hole: atacantes comprometeram um site legítimo e injetaram o exploit para que visitantes que abrissem a página no Internet Explorer fossem infectados sem qualquer ação além de navegar. Não há necessidade de autenticação, mas há necessidade estrita de o navegador ser o Internet Explorer (FireEye cita IE 7 a 10 como afetados na campanha observada) e de o usuário efetivamente carregar a página maliciosa — por isso o CVSS marca UI:R (interação do usuário requerida).
O payload final identificado foi um trojan catalogado como Trojan.APT.9002, variante da família Hydraq/McRAT, com característica notável: ele roda inteiramente em memória, sem gravar arquivo em disco, o que dificulta detecção baseada em antivírus tradicional e forense pós-incidente.
Hoje existem PoC pública e módulo Metasploit disponíveis, o que baixa a barreira técnica para reprodução em laboratório ou em ambientes ainda vulneráveis, embora o valor operacional real do bug tenha caído drasticamente após o patch de 2013 e o fim de vida das plataformas afetadas.
Versões
Como se proteger
A correção oficial é o boletim MS13-090 (KB2900986, novembro de 2013), que não reescreve o código da DLL, mas define kill bits que impedem o Internet Explorer de instanciar o controle ActiveX vulnerável — o mecanismo de exploração deixa de funcionar mesmo sem tocar no icardie.dll. A severidade agregada da Microsoft é Crítica para SOs cliente (XP, Vista, 7, 8, RT, 8.1) e Moderada para SOs servidor (Server 2003, 2008, 2008 R2, 2012, 2012 R2); instalações Server Core não são afetadas.
Como mitigação paliativa quando o patch não pode ser aplicado, a própria Microsoft, à época, indicou o EMET (Enhanced Mitigation Experience Toolkit) como camada de proteção contra a técnica de exploração — mas o EMET está descontinuado há anos e não é substituto de patch. Todas as versões de Windows listadas nesta CVE já estão em fim de vida (XP, Vista, Server 2003, Windows 8/RT incluídos); não há patch de segurança disponível para quem ainda roda essas plataformas sem suporte estendido pago, e a CISA recomenda diretamente descontinuar o uso do produto quando mitigação não for possível.
Desativar ou restringir ActiveX no Internet Explorer (zonas de segurança, Enhanced Protected Mode, ou simplesmente não usar IE como navegador padrão) reduz a superfície de ataque geral para esta classe de falha, mas não é uma correção formalmente validada pelo fornecedor para este CVE específico — trate como controle compensatório, não como mitigação equivalente ao patch.
Como detectar
O IOC mais citado na campanha original é o comportamento do implante Trojan.APT.9002 (Hydraq/McRAT), que executa apenas em memória e deixa poucos artefatos em disco — a FireEye publicou à época domínios de C2, hashes MD5 e strings de User-Agent associados à campanha, mas esses indicadores são específicos daquele ataque de 2013 e não servem como assinatura genérica da vulnerabilidade. Não há um padrão de log confiável e genérico para detectar tentativas de exploração desta falha especificamente; monitoramento de instanciação anômala de controles ActiveX pelo IE e EDR com foco em execução de código a partir do processo do navegador é o que resta como sinal indireto.