CVE-2013-3896

Falha de divulgação de informação no Microsoft Silverlight 5, corrigida pelo boletim MS13-087. Um Silverlight application malicioso, hospedado em página web ou entregue via anúncio, pode explorar validação incorreta de ponteiros de memória para ler dados sensíveis do processo. Está no catálogo KEV da CISA por exploração confirmada, mas o produto está descontinuado — hoje o risco real é quase todo residual, em máquinas que ainda tenham o plugin instalado.

A vulnerabilidade (CWE-20, validação de entrada inadequada, segundo a CISA) está no mecanismo do runtime Silverlight que resolve ponteiros ao acessar determinados elementos internos do Silverlight. A Microsoft descreve o problema genericamente como 'não validar corretamente ponteiros durante acesso a elementos Silverlight' — sem detalhar qual classe de objeto ou API específica, e não há análise pública detalhada de terceiros disponível nas fontes consultadas que aprofunde o mecanismo além disso.

O padrão é consistente com falhas de leitura fora de limites ou de confusão de tipo em runtimes gerenciados: o atacante controla o conteúdo de um arquivo .xap (aplicação Silverlight compilada) e, ao forçar o runtime a resolver um ponteiro sem validação adequada de tipo/limite, consegue fazer o processo ler memória que não deveria ser acessível e expor esse conteúdo de volta para o script atacante — por isso o impacto é confidencialidade alta (C:H) sem integridade ou disponibilidade afetadas.

O vetor CVSS informado (AV:L) reflete que o CVSS moderno trata a superfície de ataque como local ao processo do navegador/plugin, mesmo que a entrega do conteúdo malicioso seja remota via web — é uma peculiaridade da forma como o NVD reclassificou vulnerabilidades de plugin em CVSS 3.x, não uma limitação real do vetor de ataque.

O vetor é puramente client-side: a vítima precisa visitar uma página que hospede uma aplicação Silverlight (.xap) especialmente criada — a página pode ser um site comprometido, um site que aceita conteúdo/anúncios de terceiros, ou um domínio controlado pelo atacante. A Microsoft é explícita: o atacante não tem como forçar a visita, precisa convencer o usuário via link em e-mail, mensagem instantânea ou banner de anúncio — daí o UI:R no vetor CVSS.

Pré-requisito não negociável: o navegador da vítima precisa ter o plugin Silverlight instalado e habilitado. Sem o plugin ativo (a maioria dos navegadores modernos removeu suporte a NPAPI/ActiveX há anos), não há superfície de ataque. Não há indicação de que autenticação seja necessária.

A presença no catálogo KEV da CISA confirma exploração real observada, e o registro de módulo Metasploit e PoC pública tornam a exploração trivial para quem ainda tem um alvo vulnerável ativo — mas dado que Silverlight está oficialmente encerrado desde 2021, a base de alvos realistas hoje é pequena e concentrada em ambientes legados isolados ou industriais.

A correção original da Microsoft foi a atualização automática do Silverlight para a versão 5.1.20913.0, distribuída via MS13-087 (KB2890788) em outubro de 2013. Isso resolveu o problema na época para quem mantinha o produto atualizado via Windows Update ou WSUS.

Hoje a orientação prática é outra: a CISA classifica o Silverlight como produto em fim de vida (end-of-life) e recomenda desconectar/remover o componente onde ainda estiver presente, em vez de buscar patch — não há suporte ativo do fornecedor para aplicar correção adicional. O paliativo real, se a atualização de 2013 não puder ser confirmada, é desinstalar o plugin Silverlight do sistema e do navegador; não existe controle compensatório de rede (WAF, IPS) eficaz contra essa classe de falha, porque a exploração ocorre inteiramente dentro do runtime do plugin no cliente, não em um protocolo inspecionável.

Não funciona como mitigação: manter apenas o navegador ou o sistema operacional atualizados sem atualizar o Silverlight — são componentes com ciclo de patch independente. Bloquear por assinatura de rede também não é confiável, já que o conteúdo malicioso é um binário .xap arbitrário sem padrão fixo.

Não há assinatura ou IOC oficial publicado para essa CVE específica nas fontes disponíveis. Em nível de rede, o único sinal possível é a entrega de arquivos .xap (Silverlight application) de origem não confiável, anúncios de terceiros ou domínios recém-registrados para hosts com o plugin habilitado — mas isso é um indicador genérico de entrega de exploit, não uma evidência específica de exploração desta CVE.

Em nível de host, a ausência de patch (versão do Silverlight abaixo de 5.1.20913.0, verificável em sllauncher.exe ou no registro HKLM\SOFTWARE\Microsoft\Silverlight) indica exposição, mas não indica tentativa de exploração passada. Dado que o produto é EOL e sem telemetria de fornecedor ativa, tratar qualquer instalação remanescente do plugin como risco presumido é mais confiável do que tentar detectar exploração após o fato.