CVE-2017-0262

Falha de corrupção de memória no Microsoft Office (2010 SP2, 2013 SP1 e 2016) que permite execução remota de código quando a vítima abre um documento malicioso. Está no catálogo KEV da CISA, confirmando exploração real, o que eleva sua prioridade mesmo com um CVSS 'apenas' 7.8 — o vetor local e a exigência de interação do usuário mascaram o fato de que documento + phishing é o caminho de infecção mais comum contra usuários corporativos.

A Microsoft descreve a causa como falha no tratamento de 'objects in memory' — linguagem padrão do fornecedor para corrupção de memória, tipicamente um use-after-free ou leitura/escrita fora de limites (CWE-416/CWE-119) em algum componente de parsing do Office. O advisory oficial não detalha o componente exato (filtro de conversão, parser de um formato de arquivo legado, etc.), e não há write-up técnico independente disponível nas fontes consultadas que aponte a rotina vulnerável ou o formato de arquivo específico.

O vetor de ataque é local (AV:L): o código malicioso não trafega diretamente pela rede, mas chega via arquivo — normalmente um documento do Office enviado por e-mail ou hospedado para download. O atacante controla o conteúdo do documento; a exploração depende de o processo do Office na máquina da vítima interpretar uma estrutura malformada de forma que corrompa o heap e desvie o fluxo de execução para código controlado pelo atacante.

O vetor CVSS (AC:L, PR:N, UI:R) indica que não é necessária nenhuma credencial ou privilégio elevado, a complexidade de exploração é baixa, mas é obrigatória a interação da vítima — abrir o arquivo. Impacto é total (C:H/I:H/A:H): o código roda no contexto do usuário que abriu o documento, herdando os privilégios dessa conta.

Na prática, o vetor é um documento do Office (o boletim não especifica o formato exato) distribuído por phishing, anexo de e-mail ou link de download. A vítima precisa abrir o arquivo para que o parser vulnerável seja acionado — não há exploração 'zero-click' documentada para esta CVE nas fontes disponíveis. Não é necessário que o Office esteja em configuração não padrão nem que a vítima tenha privilégios elevados; o comprometimento herda apenas os privilégios da conta do usuário logado.

A CISA inclui a CVE-2017-0262 no catálogo KEV, o que confirma exploração ativa observada, mas a entrada do catálogo não detalha o grupo de ameaça, a campanha ou o malware associado — apenas classifica a falha como execução remota de código e não a associa a campanhas de ransomware conhecidas ('Known To Be Used in Ransomware Campaigns: Unknown'). Não há, nas fontes consultadas, confirmação pública de qual ator ou operação explorou esta CVE especificamente, nem exploit público (PoC) documentado nas referências catalogadas.

O resultado final da exploração bem-sucedida é execução de código arbitrário no contexto do usuário — suficiente para instalar backdoor, executar payload secundário ou pivotar para movimento lateral, dependendo do que o atacante encadeia após o comprometimento inicial.

A mitigação definitiva é aplicar as atualizações de segurança da Microsoft referentes a este boletim (maio de 2017) para as versões afetadas — Office 2010 SP2, Office 2013 SP1 e Office 2016. O advisory oficial da MSRC (link nas fontes) é a referência para as atualizações específicas por build; não há, nas fontes consultadas, número de KB detalhado o suficiente para citar com segurança, então trate o portal MSRC como fonte primária antes de aplicar qualquer patch.

Se a atualização não puder ser aplicada imediatamente, controles compensatórios genéricos reduzem a exposição: bloquear o recebimento de tipos de arquivo do Office por e-mail em gateways que não sejam estritamente necessários ao negócio, forçar abertura de documentos externos em Protected View/sandbox, e desabilitar a pré-visualização de anexos no cliente de e-mail. Nenhuma dessas medidas corrige a falha — apenas reduz a superfície de entrega, e um usuário determinado a abrir o arquivo ainda fica exposto.

Não existe mitigação por 'desativar macro' aqui — a vulnerabilidade é de corrupção de memória no parsing de objetos, não de execução de macro VBA, então políticas de bloqueio de macro não protegem contra esta CVE especificamente.

Não há, nas fontes consultadas, indicador de comprometimento (hash, assinatura de rede, nome de arquivo) publicado especificamente para esta CVE. Como padrão genérico para exploração de Office via documento, vale monitorar processos filhos anômalos gerados por winword.exe/excel.exe/outlook.exe (powershell.exe, cmd.exe, mshta.exe, processos de rede inesperados) e crashes repetidos do Office associados à abertura de arquivos recebidos externamente — mas isso é heurística geral de EDR, não uma assinatura confirmada para CVE-2017-0262.