CVE-2016-3351

Falha de divulgação de informação (CWE-200) que afeta Internet Explorer 9 a 11 e Microsoft Edge no Windows 10, permitindo que um site malicioso detecte a presença de arquivos específicos no computador da vítima. O CVSS moderado (6.5) reflete bem o impacto real: não há execução de código, apenas fingerprinting do sistema — mas o interesse prático da falha vem do seu uso documentado em cadeias de ataque para reconhecimento de máquina antes de exploits mais sérios, o que a levou ao catálogo KEV da CISA em 2022, seis anos depois da correção original.

A vulnerabilidade está na forma como certas funções do IE e do Edge tratam objetos em memória ao processar conteúdo web. O efeito prático, segundo a própria Microsoft e confirmado pela entrada no catálogo KEV, é que um atacante consegue inferir se arquivos específicos existem no disco da vítima através de uma página web especialmente criada — sem precisar de nenhuma ação além de a vítima abrir a página no navegador vulnerável.

A fonte técnica independente (brokenbrowser.com) documenta uma classe relacionada de técnicas nesse período em que o navegador expõe, via comportamento de MIME type/handlers de aplicação, pistas sobre quais programas e arquivos estão instalados no host — usado para fingerprinting de máquina, incluindo detecção de ferramentas de segurança ou sandbox antes de decidir entregar payload adicional. A CVE em si foi corrigida no mesmo boletim (MS16-105) que trata de várias outras falhas do Chakra e do Edge, incluindo corrupções de memória; a Microsoft não publicou detalhes de código além de "como certas funções tratam objetos em memória", então o mecanismo exato de vazamento não é público.

O vetor CVSS (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N) confirma que não há necessidade de autenticação, a complexidade é baixa, mas exige interação do usuário — abrir uma página maliciosa. O impacto é só de confidencialidade (C:H), sem integridade ou disponibilidade afetadas, o que é consistente com uma falha de reconhecimento, não de comprometimento direto.

O vetor é puramente web: o atacante hospeda ou compromete um site e induz a vítima a visitá-lo com IE9-11 ou Edge vulnerável. Não exige autenticação, privilégios elevados, nem configuração não padrão — só o navegador desatualizado e a vítima abrindo o link. A Microsoft classificou o impacto como "Important" em clientes Windows e "Low" em servidores Windows, refletindo que servidores raramente têm usuários navegando ativamente na web com esses navegadores.

Na prática, esse tipo de falha de disclosure de arquivos é usado como etapa de reconhecimento: antes de lançar um exploit de execução remota de código, um atacante pode usar a técnica para verificar se determinado software (AV, sandbox, ferramenta de análise) está presente na máquina, decidindo se vale a pena continuar o ataque ou se deve abortar para evitar detecção. Isso explica por que a CISA a colocou no KEV mesmo sem associação a ransomware — o valor dela está em cadeias de ataque combinadas, não como exploit isolado.

A entrada no KEV confirma exploração ativa documentada, mas sem detalhes públicos sobre campanhas específicas, atores ou período de uso. A due date definida pela CISA (2022-06-14) é relevante para quem ainda opera sistemas legados com essas versões de navegador sem atualização.

A correção definitiva veio nos boletins MS16-104 (Internet Explorer, KB3183038) e MS16-105 (Microsoft Edge, KB3183043), ambos publicados em 13 de setembro de 2016. Aplicar as atualizações cumulativas correspondentes ao sistema operacional resolve a falha; para Windows 10, as atualizações são cumulativas por design, então qualquer build atualizado após aquela data já inclui a correção.

Não há workaround de configuração documentado pela Microsoft para esta CVE específica — a mitigação real é a atualização. Para ambientes que ainda rodam IE ou Edge legado sem patches desde 2016 (o que hoje seria uma anomalia grave de gestão de patch, já fora do ciclo de suporte da maioria dessas versões), a única ação prática que reduz risco de fato é migrar para navegadores atualmente suportados e mantidos — não existe controle compensatório equivalente a um patch ausente de oito anos.

O que não funciona: assumir que o Windows Update genérico já cobriu isso sem verificar a versão de build — sistemas Windows Server ou embarcados fora do ciclo de atualização automática podem ainda estar expostos. Da mesma forma, restrições de rede (proxy, firewall) não mitigam a falha, já que o vetor é conteúdo web legítimo do ponto de vista de rede.

Não há assinatura ou IOC público confiável associado especificamente a esta CVE. Como o vetor é conteúdo JavaScript/HTML client-side executado dentro do processo do navegador, não deixa rastro de rede distintivo além do tráfego HTTP normal até o site malicioso — o que dificulta detecção baseada em proxy ou IDS sem inspeção profunda de conteúdo de página.

Em ambientes com EDR, vale monitorar comportamento anômalo do processo do navegador (iexplore.exe, MicrosoftEdgeCP.exe) tentando enumerar ou verificar existência de arquivos fora do padrão de navegação normal, mas isso é heurística geral de fingerprinting, não uma detecção específica desta CVE.