CVE-2014-0502

Vulnerabilidade de double free (CWE-399) no Adobe Flash Player que permite execução de código arbitrário quando a vítima carrega um arquivo SWF malicioso. Foi explorada como zero-day em fevereiro de 2014, antes da correção oficial, e está no catálogo KEV da CISA — mas hoje o produto é EOL/EOS e a única ação recomendada pela própria CISA é descontinuar o uso do Flash Player, não aplicar patch.

A falha é um double free: uma estrutura de memória é liberada duas vezes durante o processamento de conteúdo SWF, corrompendo o heap do processo. A descrição oficial da Adobe não especifica o componente exato ('unspecified vectors'), mas o padrão é o do Flash Player da época — o double free cria uma janela de corrupção de heap que, combinada com técnicas de heap grooming, permite que um atacante reescreva ponteiros de função ou estruturas de objeto controladas, redirecionando o fluxo de execução.

O write-up da Volatility Labs, baseado na análise do exploit encontrado in the wild, mostra a cadeia completa: o Flash malicioso (cc.swf) explora a falha e o shellcode resultante baixa um arquivo GIF (logo.gif) hospedado no mesmo servidor. Esse GIF carrega, nos seus últimos 4 bytes, um inteiro little-endian que indica o deslocamento de um payload de shellcode criptografado embutido no próprio arquivo de imagem — uma técnica de esteganografia simples para evitar detecção por assinatura.

O shellcode decodificado usa um decryptor baseado em instruções da FPU (fldz/fnstenv) para determinar seu próprio endereço em runtime — truque clássico de posição independente de código em shellcode, documentado desde 2003. Depois de decodificado, ele resolve dinamicamente funções como LoadLibrary, InternetOpenURL e CreateFile via ROP para contornar ASLR e DEP, e usa essas funções para baixar e executar um backdoor a partir de uma URL também criptografada dentro do arquivo.

O vetor é web: a vítima precisa carregar uma página com o SWF malicioso embutido — por isso a exigência de User Interaction (UI:R) no CVSS, tipicamente satisfeita por visitar uma página comprometida ou clicar em link malicioso. Não há necessidade de autenticação nem de configuração não padrão; o pré-requisito real é ter uma versão vulnerável do plugin Flash instalada e ativa no navegador.

A exploração documentada usa uma cadeia em dois estágios (SWF → GIF com shellcode embutido → download de backdoor) e emprega ROP para contornar ASLR/DEP nos sistemas Windows da época, o que indica exploit desenvolvido por atores com capacidade técnica considerável, não um script trivial. Múltiplas empresas de segurança (FireEye, AlienVault, SecPod, Symantec, Zscaler, SpiderLabs) documentaram essa campanha logo após sua descoberta em fevereiro de 2014.

A CISA confirma exploração ativa (está no catálogo KEV), mas a entrada foi adicionada apenas em 2024-09-17 — mais de dez anos depois do fato — como parte de um processo de catalogação retroativa de vulnerabilidades históricas conhecidas, não como sinal de campanha recente.

Na época, a correção era atualizar para Flash Player 11.7.700.269 ou 12.0.0.70 (Windows/Mac), 11.2.202.341 (Linux), ou Adobe AIR/AIR SDK 4.0.0.1628 (Android). O Red Hat corrigiu via RHSA-2014-0196 atualizando flash-plugin para 11.2.202.341; a Gentoo, em atualização posterior (GLSA 201405-04, maio de 2014), recomendou a versão 11.2.202.356 — já cobrindo esta e outras falhas subsequentes.

Hoje, essas versões são irrelevantes como orientação de ação: o Adobe Flash Player atingiu fim de vida em 31 de dezembro de 2020, não recebe mais atualizações e a própria Adobe recomenda desinstalação. A entrada da CISA no catálogo KEV reflete exatamente isso — a ação recomendada não é 'atualizar', é 'descontinuar o uso do produto'.

O controle compensatório real, para qualquer sistema legado que ainda rode Flash Player por dependência de conteúdo antigo, é isolamento total: remoção do plugin dos navegadores, bloqueio de execução de SWF por política de navegador/AppLocker, e segmentação de rede para máquinas legadas que não podem ser atualizadas. Não existe mitigação por WAF ou configuração de servidor — a falha está no cliente (plugin), não em uma aplicação web exposta.

Não há assinatura de rede confiável e específica documentada para esta CVE isoladamente — o padrão descrito (SWF que baixa um GIF do mesmo servidor, com shellcode embutido nos bytes finais do arquivo de imagem) é um indicador de comportamento, não uma assinatura fixa, e foi específico da campanha observada em fevereiro de 2014. Em ambientes legados que ainda executem Flash Player, o sinal mais prático é logging de requisições HTTP que baixam arquivos SWF seguidos imediatamente por download de arquivos de imagem (GIF/JPG) do mesmo host, e execução de processos filhos inesperados a partir do processo do navegador ou plugin-container.

Dado que o Flash Player está descontinuado há anos, o sinal de maior valor hoje é simplesmente a presença do plugin ou de arquivos .swf sendo processados por qualquer componente do ambiente — isso já indica exposição, independente de tentativa de exploração ativa.