CVE-2014-4114
Corrija agora. Ela está sob exploração confirmada pelo CISA, tem exploit funcional público e 3 grupo(s) de ameaça a utilizam.
Grupos conhecidos por explorar esta vulnerabilidade (atribuição MITRE ATT&CK).
Apply updates per vendor instructions.
Resumo
Falha de execução remota de código na implementação OLE do Windows, explorada via documentos do Office (principalmente PowerPoint) contendo um objeto OLE malicioso. Ficou famosa como parte da campanha de espionagem Sandworm, atribuída a atores russos, usada entre junho e outubro de 2014 contra alvos como OTAN, setor de energia europeu e organizações governamentais ucranianas antes de a Microsoft publicar a correção. Apesar do vetor local (AV:L) no CVSS, o impacto é execução de código completa no contexto do usuário que abre o arquivo, e a exploração já foi amplamente automatizada e documentada.
Detalhamento técnico
A vulnerabilidade está no subsistema OLE do Windows, especificamente na forma como o Windows valida e ativa objetos OLE do tipo Package (empacotados por packager.dll) embutidos em documentos do Office. Um objeto OLE malformado pode fazer o Windows tratar como executável um tipo de conteúdo que deveria ser apenas exibido ou manipulado como dado passivo, permitindo que o processo de ativação do objeto acione a execução de código arbitrário no contexto do usuário atual (CWE relacionado a validação inadequada de tipo/entrada, próximo de type confusion).
O atacante controla o conteúdo do objeto OLE embutido no documento — na exploração observada em campo, um arquivo .INF disfarçado como parte do objeto Package, referenciado a partir de uma apresentação do PowerPoint (formato .ppsx). O documento faz o Windows buscar e processar esse INF, e diretivas dentro dele (via componentes como advpack.dll) acabam sendo usadas para invocar a execução de um payload secundário — nas amostras documentadas publicamente, um executável renomeado com extensão de imagem, baixado de um servidor controlado pelo atacante.
A correção da Microsoft (MS14-060) atua modificando a forma como objetos OLE são ativados pelo Windows, ou seja, o fornecedor tratou isso como um problema de lógica de ativação/validação de tipo no próprio OLE, não como um bug isolado no PowerPoint ou em um parser específico de arquivo.
Como é explorada
O vetor é um documento do Office — nos casos documentados publicamente, arquivos PowerPoint (.ppsx) — enviado por e-mail (spear-phishing) para um alvo específico. A exploração exige que a vítima abra o arquivo; não há execução sem interação do usuário (UI:R no vetor CVSS), e não há necessidade de autenticação prévia ou privilégios elevados (PR:N). Não é necessário nenhum outro componente de rede exposto: o risco nasce inteiramente da abertura do arquivo malicioso pelo usuário.
A campanha Sandworm, atribuída por pesquisadores a atores alinhados à Rússia, usou esse zero-day entre junho e outubro de 2014 contra alvos da OTAN, governos europeus, empresas de telecomunicações e energia, e organizações acadêmicas — antes de existir patch disponível. Depois da divulgação e do patch, o exploit foi reempacotado em ferramentas públicas (módulo Metasploit e PoCs no Exploit-DB), o que baixou bastante a barreira técnica para reexploração contra sistemas não corrigidos.
O resultado final da exploração bem-sucedida é execução de código arbitrário com os privilégios do usuário que abriu o documento — se esse usuário for administrador local, o comprometimento é total (instalação de programas, alteração/exclusão de dados, criação de contas).
Versões
Como se proteger
A mitigação definitiva é aplicar a atualização de segurança MS14-060 (KB3000869), lançada pela Microsoft em 14/10/2014, que corrige a forma como o Windows ativa objetos OLE. Sistemas Windows Vista, Server 2008, 7, 8, 8.1, Server 2012/2012 R2 e RT/RT 8.1 sem esse patch permanecem vulneráveis; a maioria dessas versões já está fora do ciclo de suporte padrão da Microsoft, então ambientes legados (industrial, embarcado, sistemas isolados) são o principal ponto de atenção hoje.
Como paliativo quando o patch não pode ser aplicado imediatamente, a própria Microsoft recomendava, na época, desabilitar a renderização/preview de objetos OLE em produtos Office e reforçar o bloqueio de anexos de e-mail com extensões de apresentação/documento vindos de remetentes não confiáveis — mas isso reduz o risco, não elimina a causa raiz. Filtragem de e-mail e controle de execução de aplicações (bloqueio de binários não assinados baixados por processos do Office) funcionam como controle compensatório, não como correção.
Não adianta apenas atualizar o Office sem atualizar o Windows: a falha está no componente OLE do sistema operacional, não em um parser específico de arquivo do Office, então patches de aplicativo isolados não resolvem.
Como detectar
Em nível de e-mail/rede: procurar anexos do Office (especialmente apresentações .ppsx) que embutem objetos OLE do tipo Package apontando para arquivos .INF, seguidos de conexões de saída para download de um segundo estágio disfarçado de imagem (extensão .gif que na prática é um executável). Em nível de host: eventos de criação de processo originados por winword.exe/powerpnt.exe ou por packager.dll/rundll32 chamando advpack.dll para processar um INF pouco depois da abertura de um documento são um indicador forte.
Como a exploração original (Sandworm) usava infraestrutura e amostras específicas de 2014, assinaturas antigas de rede/endpoint têm baixa cobertura contra reuso do exploit com payloads novos — não há um IOC único e confiável que sirva hoje; a defesa prática depende de garantir que a atualização MS14-060 esteja aplicada, já que a ausência do patch é o sinal mais confiável de exposição.