CVE-2015-1642

Falha de corrupção de memória no Microsoft Office (CVE-2015-1642) que permite execução remota de código quando a vítima abre um documento malicioso — o vetor é local (abertura de arquivo), não rede direta, e depende de interação do usuário. Está no catálogo KEV da CISA desde 2022, ou seja, confirmadamente explorada, mas o vetor de ataque continua sendo o mesmo de sempre em phishing com anexo: baixo custo de exploração, alto impacto se a vítima abrir o arquivo com privilégios elevados.

A Microsoft classifica a causa como corrupção de memória ao processar arquivos do Office ('Correcting how Office handles files in memory'), sem detalhar no boletim MS15-081 qual parser ou formato de arquivo específico está envolvido — a correção da CVE-2015-1642 faz parte de um pacote de oito CVEs corrigidas no mesmo boletim, cada uma com causa raiz distinta (corrupção de memória, integer underflow, validação de template, passagem insegura de parâmetro de linha de comando). O CISA KEV classifica a falha como CWE-119 (restrição incorreta de operações dentro dos limites de um buffer de memória), consistente com um overflow ou uso de memória fora dos limites alocados ao parsear estrutura interna de um documento Office.

O CVSS 3.1 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) descreve o mecanismo de exploração com precisão: o vetor é local porque o ataque ocorre no processamento de um arquivo já presente no disco/aberto pelo usuário, não via rede; não exige privilégios prévios (PR:N); mas exige interação do usuário (UI:R) — a vítima precisa abrir o documento malicioso. Uma vez acionada, o impacto é total em confidencialidade, integridade e disponibilidade, refletindo execução de código arbitrário no contexto do usuário que abriu o arquivo.

As fontes disponíveis não detalham qual componente exato do parser (Word, Excel, PowerPoint, ou o core compartilhado do Office) contém a falha, nem o offset ou estrutura de dados corrompida — o boletim trata o conjunto de correções de forma agregada.

O vetor de ataque é um documento do Office especialmente criado, entregue tipicamente por e-mail (phishing com anexo) ou hospedado para download/abertura. Não há componente de rede a ser explorado remotamente no sentido de serviço exposto — a exploração depende inteiramente da vítima abrir o arquivo malicioso com uma versão vulnerável do Office instalada. Isso reduz a superfície de ataque a cenários de engenharia social, mas não elimina o risco em ambientes corporativos onde documentos Office circulam constantemente como vetor primário de intrusão inicial.

O código executa no contexto do usuário que abriu o documento — contas com privilégios administrativos amplificam o impacto, contas restritas limitam o alcance pós-exploração, conforme a própria Microsoft observa no boletim.

A inclusão no catálogo KEV da CISA (adicionada em março de 2022, sete anos após a publicação da CVE) confirma exploração ativa documentada, mas as fontes consultadas não descrevem campanha específica, autor de ameaça, ou se houve reaproveitamento em kits de exploração de documentos mais recentes. O campo 'Known to be used in ransomware campaigns' do próprio KEV está marcado como 'Unknown' — não há confirmação de uso em ransomware.

A correção oficial é aplicar a atualização de segurança do boletim MS15-081 (KB 3080790) correspondente à versão instalada: para Office 2007 SP3 o update é o KB 2687409; para Office 2010 SP2 (32-bit e 64-bit) o update é o KB 2965310. As fontes consultadas não confirmam o número de KB específico para Office 2013 SP1, mencionado na descrição oficial da CVE como também afetado — verifique o boletim completo ou o Microsoft Update Catalog para essa versão antes de considerar o ambiente corrigido.

Como paliativo quando a atualização não pode ser aplicada imediatamente: reduzir privilégios da conta que abre documentos Office (limita o impacto pós-exploração, não fecha a falha), bloquear ou colocar em quarentena anexos de Office recebidos por e-mail de fontes não confiáveis, e usar Protected View / bloqueio de macros e conteúdo ativo como camada de atrito adicional — nenhuma dessas medidas neutraliza a vulnerabilidade de corrupção de memória em si, apenas reduz a chance do arquivo malicioso chegar ao parser vulnerável ou limita o raio de dano.

Dado que essas versões do Office (2007, 2010, 2013) estão fora do ciclo de suporte padrão há anos, o caminho realista de mitigação definitiva em 2024+ é a migração para uma versão suportada e com patches ativos — aplicar apenas o patch pontual de 2015 não cobre outras vulnerabilidades corrigidas em boletins posteriores nessas linhas legadas.

Não há assinatura de rede a procurar, já que o vetor é local (abertura de arquivo) — não existe tráfego de exploração remota característico. Em ambiente corrigido, indícios de tentativa de exploração anterior ao patch apareceriam como comportamento anômalo do processo do Office (winword.exe, excel.exe, powerpnt.exe) gerando processos filhos inesperados ou injetando código após a abertura de um anexo suspeito — mas as fontes consultadas não documentam IOCs, hashes ou assinaturas específicas associadas a campanhas que exploraram esta CVE. Ausência de indicador público confiável é, em si, a informação relevante: a detecção depende de controles genéricos de comportamento pós-abertura de documento, não de uma assinatura conhecida desta CVE em particular.