CVE-2015-2425

Vulnerabilidade de corrupção de memória no Internet Explorer 11, corrigida pela Microsoft no boletim MS15-065 (julho de 2015). Um atacante que convence a vítima a visitar uma página web maliciosa pode conseguir execução remota de código com os privilégios do usuário logado. A CVE está no catálogo KEV da CISA por exploração confirmada, embora isso tenha sido adicionado anos depois, em 2022 — não há indicação de campanha ativa contemporânea à divulgação original.

A falha é classificada como CWE-119 (erro de restrição de operações dentro dos limites de um buffer de memória) segundo o registro da CISA no KEV. A descrição oficial da Microsoft/NVD não detalha o componente interno exato — motor de renderização, parser de script (JScript/VBScript) ou manipulação de objetos DOM — apenas confirma que é uma falha de corrupção de memória explorável via página web especialmente criada, distinta de duas outras CVEs do mesmo lote (CVE-2015-2383 e CVE-2015-2384) corrigidas no mesmo boletim.

O boletim MS15-065 é cumulativo e resolve várias vulnerabilidades simultaneamente, incluindo correções em como IE, VBScript e JScript lidam com objetos em memória, reforço de CFG e ASLR, e validações adicionais de permissão. Não há confirmação pública, nas fontes disponíveis, de qual dessas mudanças específicas corresponde à CVE-2015-2425 — o boletim trata o conjunto de forma agregada, sem mapear CVE a correção individual.

O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) indica exploração remota pela rede, sem necessidade de privilégios prévios, mas dependente de interação do usuário (visitar a página maliciosa) — condição consistente com qualquer exploit de navegador via drive-by.

O vetor de ataque é uma página web maliciosa: a vítima precisa navegar até ela usando Internet Explorer 11 (diretamente ou via link em e-mail, anúncio malicioso, site comprometido). Não há indício nas fontes de que a falha exija autenticação, configuração não padrão ou plugin adicional — o único pré-requisito real é o usuário abrir a URL controlada pelo atacante no IE11 vulnerável.

O impacto documentado é execução arbitrária de código com os direitos do usuário corrente ou negação de serviço por corrupção de memória. Contas com privilégios administrativos sofrem impacto maior; contas com privilégios reduzidos limitam o alcance pós-exploração — mitigação parcial mencionada de forma padrão pela própria Microsoft no boletim, não específica desta CVE.

A entrada da CISA no KEV confirma exploração no mundo real, mas a data de inclusão (25/05/2022) é sete anos posterior à publicação original — típico de vulnerabilidades legadas de IE reaproveitadas em kits de exploração ou cadeias de ataque mais recentes, não de exploração em massa próxima ao disclosure de 2015.

A correção oficial é aplicar a atualização KB3065822, distribuída pelo boletim MS15-065 (julho de 2015), para a versão de Windows/IE aplicável. Como o Internet Explorer está fora do ciclo de suporte principal da Microsoft (substituído pelo Edge, com EOL de suporte estendido em junho de 2022), a mitigação mais efetiva hoje é não usar mais o IE como navegador de uso geral — não há paliativo de configuração documentado nas fontes que neutralize especificamente esta CVE sem o patch.

Controles compensatórios genéricos para ambientes que ainda mantêm IE11 por dependência legada: executar o navegador com contas de privilégio mínimo (reduz o impacto pós-exploração, não impede a corrupção de memória em si), isolar o uso do IE em ambientes segregados ou máquinas virtuais descartáveis, e bloquear ou monitorar acesso a domínios não confiáveis via proxy/DNS. Nenhuma dessas medidas substitui o patch — apenas reduzem a superfície de exposição.

Mito a descartar: assumir que estar "sem suporte" torna a CVE irrelevante. Sistemas legados (ATMs, terminais industriais, aplicações corporativas internas que travam o navegador em IE11) continuam expostos e são justamente o tipo de alvo que motivou a inclusão tardia desta CVE no catálogo KEV.

Não há assinatura ou indicador de comprometimento específico publicado nas fontes consultadas para esta CVE. Como o vetor é uma página web maliciosa processada pelo motor de renderização do IE, sinais genéricos de exploração de navegador se aplicam: crashes inesperados do processo iexplore.exe, execução de processos filhos anômalos a partir do IE, ou tráfego de rede para domínios de reputação baixa coincidindo com o horário do crash. Para ambientes que ainda operam IE11 sem patch, a ausência de sinal confiável reforça que a prioridade é atualizar ou isolar o navegador, não depender de detecção.