CVE-2018-0802

Estouro de buffer baseado em pilha no Equation Editor (EQNEDT32.EXE), o componente OLE herdado do Office usado para renderizar fórmulas matemáticas, que permite execução remota de código no contexto do usuário atual ao abrir um documento malicioso. É tecnicamente distinta de CVE-2017-11882 e CVE-2018-0797/0812, mas vive no mesmo binário de 32 bits sem manutenção de código-fonte ativa pela Microsoft, e foi descoberta de forma independente e quase simultânea por pelo menos quatro grupos de pesquisa diferentes. Importa porque combina baixa complexidade de exploração, ausência de aviso ao usuário quando o processo falha, e um mecanismo de bypass de ASLR trivial — está no catálogo KEV da CISA por exploração confirmada em campanhas reais.

A falha (CWE-787, gravação fora dos limites) está na função que faz o parsing do registro SIZE de um objeto OLE Equation, localizada por pesquisadores do Check Point no endereço 0x0443E34 do EQNEDT32.EXE, que chama duas vezes uma sub-rotina auxiliar em 0x00443F6C. Essa sub-rotina invoca repetidamente a função get_byte(), que incrementa um ponteiro global e copia bytes controlados pelo atacante para dois buffers na pilha (variáveis locais referenciadas no código descompilado como v6/v8), sem checar limite. Os valores de tamanho copiados (v12/v13) são derivados diretamente de bytes no stream hexadecimal do objeto Equation embutido no documento — ou seja, o atacante controla tanto o conteúdo quanto o tamanho da cópia, permitindo sobrescrever o endereço de retorno e assumir controle de EIP.

O padrão é estruturalmente idêntico ao de CVE-2017-11882: uma chamada 'promíscua' a get_byte() que só para ao encontrar um byte nulo, presente em várias funções do mesmo binário que nunca foi recompilado com o código-fonte original — a Microsoft aparentemente aplicou patches binários, não recompilação, sugerindo perda de acesso ao source. Isso indica que o mesmo padrão de bug provavelmente existe em outros pontos do EQNEDT32.EXE ainda não catalogados.

Depois do patch de CVE-2017-11882, a Microsoft adicionou ASLR ao EQNEDT32.EXE — mas por ser processo de 32 bits, a entropia efetiva do endereço-base carregado é de apenas 8 bits (256 posições possíveis), muito abaixo do padrão para binários modernos.

O vetor é um documento Office (tipicamente RTF, mas também DOC/DOCX) com um objeto OLE Equation malicioso embutido, entregue por e-mail ou download; a exploração exige que a vítima abra o arquivo (interação do usuário — não há execução automática). Não há necessidade de autenticação nem de configuração não padrão: o Equation Editor era habilitado por padrão em todas as versões afetadas do Office. A superfície real de risco, portanto, é qualquer ambiente que ainda processe anexos de Office sem sandboxing e sem o patch aplicado.

A parte mais interessante do exploit documentado pelo Check Point é o bypass do ASLR de 8 bits: como o EQNEDT32.EXE falha silenciosamente sem notificar o usuário quando o processo crasha, um único documento RTF pode embutir 256 objetos Equation, cada um contendo uma ROP chain calculada para um dos 256 endereços-base possíveis do módulo. O documento tenta as 256 combinações sequencialmente até acertar o endereço real; a chain final usa um gadget para ajustar EAX (que aponta próximo ao input controlado no momento do crash) e salta para WinExec, importada pelo próprio binário, executando um comando arbitrário.

Há exploração ativa confirmada — motivo da inclusão no catálogo KEV da CISA — e múltiplas PoCs públicas (incluindo as referenciadas neste registro) que geram RTFs weaponizados prontos para uso, o que baixa a barreira de entrada para qualquer operador de malware. A CISA nota que essa CVE é conhecida por ser encadeada com CVE-2018-0798 em campanhas reais.

A mitigação real é aplicar a atualização de segurança do Office correspondente ao Patch Tuesday de janeiro de 2018, que corrige a função vulnerável no EQNEDT32.EXE, para as versões de Office 2007, 2010, 2013 e 2016 que ainda utilizam o Equation Editor legado. Não foram apurados nesta pesquisa os números exatos de KB/build por versão e ramo (RTM, SP, Click-to-Run) — confirme o boletim correspondente no portal MSRC antes de assumir que uma build específica está corrigida.

Se o patch não puder ser aplicado imediatamente, o controle compensatório mais eficaz é impedir a execução do componente Equation Editor: como o binário é isolado e chamado via OLE, bloquear sua invocação (por política de aplicação, AppLocker/WDAC, ou removendo/renomeando o executável) neutraliza toda a classe de vulnerabilidades do EQNEDT32.EXE, incluindo esta e as relacionadas (CVE-2017-11882, CVE-2018-0797, CVE-2018-0812). Isso tem custo: usuários que efetivamente usam edição de fórmulas matemáticas via esse componente legado perdem a funcionalidade — mas o Equation Editor antigo já era considerado obsoleto frente ao editor de equações nativo mais recente do Office.

Não funciona como mitigação: treinamento de usuário sobre 'não abrir anexos suspeitos' é insuficiente isoladamente, dado que a exploração via brute-force de ASLR não exige engenharia social sofisticada — só que o arquivo seja aberto. Antivírus com assinaturas genéricas para RTF malicioso também tem taxa de evasão alta, já que os PoCs públicos são triviais de recompilar com payloads diferentes.

Não há assinatura de rede única e confiável: a exploração ocorre inteiramente no parsing local do documento, sem callback de rede até a etapa final de execução do payload (que varia por campanha). Em nível de host, o indicador mais forte é a criação inesperada de processos filhos a partir de EQNEDT32.EXE — esse binário legítimo nunca deveria invocar cmd.exe, powershell.exe ou spawnar executáveis via WinExec em uso normal. Documentos RTF ou DOC/DOCX contendo múltiplos objetos OLE Equation idênticos ou quase idênticos (padrão característico do bypass de ASLR por brute-force com ~256 cópias) também é um sinal específico dessa família de exploits, e há uma regra YARA pública referenciada no PoC do rxwx voltada para essa variante — mas os próprios autores alertam que é facilmente evadida e serve mais como ponto de partida do que detecção definitiva.