CVE-2016-0034

Falha de corrupção de memória no runtime do Microsoft Silverlight 5, explorável remotamente por um site malicioso que hospeda uma aplicação Silverlight especialmente criada. Está no catálogo KEV da CISA, mas hoje o problema real não é a versão do patch — Silverlight está em fim de vida desde outubro de 2021 e a orientação oficial da CISA é simplesmente desinstalar o produto, não atualizá-lo.

A vulnerabilidade (CWE-20, validação de entrada imprópria) está no decodificador do runtime Silverlight, que trata mal deslocamentos (offsets) negativos durante a decodificação de dados de uma aplicação Silverlight. Quando o decoder recebe um offset negativo, o resultado não é validado antes de ser usado para escrever ou referenciar memória, o que corrompe o cabeçalho de um objeto (object-header corruption) na heap gerenciada.

Corrupção de header de objeto em runtimes gerenciados costuma ser explorável para escrita/leitura arbitrária controlada, porque o header carrega metadados usados pelo garbage collector e pelo sistema de tipos — corrompê-lo pode levar o runtime a tratar memória arbitrária como um objeto de tipo escolhido pelo atacante, abrindo caminho para execução de código. A Microsoft descreve a correção como validação dos resultados do decoder (MS16-006), confirmando que a causa raiz é a ausência de checagem de sanidade sobre o offset antes de seu uso.

O atacante controla o conteúdo da aplicação Silverlight (.xap) servida pelo site, incluindo os valores de offset embutidos nos dados codificados que o decoder processa. Não há indicação nas fontes de qual algoritmo de decodificação específico (imagem, mídia, ou serialização de objeto) contém a falha, apenas que é no processo de decodificação genérico do runtime.

O vetor é web: a vítima precisa visitar um site controlado pelo atacante (ou um site legítimo comprometido/malvertising) que hospeda uma aplicação Silverlight maliciosa, com o plugin Silverlight instalado e habilitado no navegador. A Microsoft é explícita — não há forma de forçar a visita; depende de engenharia social, tipicamente um link em e-mail ou mensagem instantânea. Não é necessária autenticação nem configuração não padrão além de ter o Silverlight instalado, o que era comum em ambientes corporativos e em usuários de serviços de streaming da época.

O CVSS 3.1 de 8.8 reflete AV:N/AC:L/PR:N/UI:R — sem privilégios, mas com interação do usuário obrigatória. Um exploit funcional entrega execução de código arbitrário no contexto do processo do plugin/navegador; falha na exploração ou builds de payload malformados resultam em DoS por corrupção de heap.

A presença no catálogo KEV da CISA confirma exploração ativa documentada, mas a entrada não detalha campanha, grupo de ameaça ou período de exploração — apenas que o uso foi comprovado o suficiente para justificar a inclusão em 2022, seis anos após a divulgação, o que sugere reaproveitamento tardio em ambientes que nunca corrigiram ou removeram o Silverlight.

A correção original é a atualização para Silverlight 5.1.41212.0 ou superior, distribuída pelo boletim MS16-006 (KB3126036) em janeiro de 2016. Qualquer build anterior a essa versão é vulnerável.

Essa mitigação é hoje irrelevante como caminho principal: o Microsoft Silverlight atingiu fim de suporte estendido em outubro de 2021 e não recebe mais atualizações. A própria CISA, ao incluir a CVE no KEV em 2022, não recomenda patch — recomenda desinstalar o Silverlight e, se o produto ainda estiver em uso por dependência de aplicação legada, desconectar o sistema afetado da rede. Não existe patch atual disponível para aplicar; manter o Silverlight instalado, mesmo sem uso ativo, mantém a superfície de ataque exposta em qualquer navegador que ainda carregue o plugin.

O que não funciona como mitigação: confiar em filtros de conteúdo web genéricos ou EDR para bloquear a exploração — a vulnerabilidade está no parsing interno do runtime antes de qualquer heurística de comportamento malicioso disparar, e a maioria dos navegadores modernos já removeu suporte a NPAPI/plugins, tornando a exploração dependente de navegadores legados (IE, versões antigas de Firefox/Chrome com NPAPI) que por si só já são um risco maior que o Silverlight isoladamente.

Não há assinatura ou indicador de log confiável documentado nas fontes disponíveis. A exploração ocorre inteiramente dentro do processo do plugin Silverlight no navegador da vítima, via conteúdo de uma aplicação .xap maliciosa entregue por HTTP/HTTPS; sem captura de tráfego e inspeção do binário Silverlight servido, não há visão de rede que distinga uma aplicação Silverlight legítima de uma maliciosa. Em ambientes onde o Silverlight ainda está presente, a melhor detecção prática é inventário: identificar hosts com o plugin instalado (verificando a chave de registro de versão citada pela Microsoft ou a presença de sllauncher.exe) e tratá-los como vulneráveis por definição, dado que não há mais patch.