CVE-2016-4117
Patch now. It under exploitation confirmed by CISA, has a working public exploit and 1 threat group(s) use it.
Groups known to exploit this vulnerability (MITRE ATT&CK attribution).
The impacted product is end-of-life and should be disconnected if still in use.
Summary
Falha de type confusion no Adobe Flash Player (versões 21.0.0.226 e anteriores) que permite execução remota de código através de um arquivo SWF malicioso. A Adobe confirmou exploração ativa em maio de 2016, antes mesmo de publicar o patch, tratando-a como zero-day (APSA16-02). Hoje o risco real é baixo: Flash Player está em fim de vida desde dezembro de 2020, não é mais distribuído nem executado pela maioria dos navegadores, e a CISA recomenda simplesmente remover o produto onde ainda existir.
Technical detail
A CISA classifica a causa raiz como CWE-843 (Access of Resource Using Incompatible Type / type confusion). O motor ActionScript Virtual Machine do Flash Player trata um objeto controlado pelo atacante como sendo de um tipo diferente do real, o que corrompe estruturas internas de memória e abre caminho para controle de fluxo de execução. A Adobe nunca detalhou publicamente o vetor exato ('unspecified vectors' na descrição oficial), e não há análise binária pública amplamente citada nas fontes disponíveis que aponte a função ou classe específica afetada dentro do runtime.
O atacante controla o conteúdo do arquivo SWF entregue à vítima — a estrutura de tags, objetos ActionScript e referências de tipo dentro desse arquivo. É esse conteúdo malformado que dispara a confusão de tipo no parser/interpretador do Flash.
Vale notar uma divergência de classificação: o vetor CVSS registrado (AV:L/AC:L/PR:N/UI:R) usa Attack Vector Local mesmo a entrega sendo via web, porque a execução ocorre no contexto do processo local do plugin depois que o SWF é carregado. Um issue do catálogo Vulnrichment da CISA (referenciando este e outros CVEs de Flash) argumenta que o KEV superestimou o requisito de interação para várias dessas CVEs e sugere reclassificar como UI:R e SSVC Automatable:No, reconhecendo que a exploração depende de a vítima abrir uma página com um Flash antigo carregado — não é um ataque disparado remotamente sem qualquer ação do usuário.
How it’s exploited
O vetor é drive-by: a vítima acessa uma página web (legítima comprometida ou maliciosa) que carrega um SWF malformado no plugin Flash Player embutido no navegador. Não há indicação nas fontes de necessidade de autenticação ou configuração não padrão — o pré-requisito real é ter o Flash Player vulnerável instalado e ativo no navegador (ou, em ambientes com click-to-play, que o usuário autorize a execução do conteúdo Flash).
A Adobe emitiu o APSA16-02 confirmando exploração no mundo real em maio de 2016 antes de ter correção disponível, o que motivou o patch de emergência na APSB16-15. As fontes fornecidas não detalham o ator de ameaça, campanha específica ou setor alvo — apenas confirmam a exploração ativa reportada pelo fornecedor.
A CISA incluiu a CVE no catálogo KEV (adicionada em 2022-03-03, prazo de correção 2022-03-24), mas o registro indica 'Known To Be Used in Ransomware Campaigns: Unknown'. A ação recomendada no KEV não é aplicar patch — é desconectar/remover o produto, porque o Flash Player já é end-of-life.
Versions
How to protect
A correção oficial é atualizar para Adobe Flash Player 21.0.0.242 ou posterior, publicada na APSB16-15 (maio de 2016). Para distribuições Linux que empacotavam o plugin separadamente, a Red Hat corrigiu via flash-plugin 11.2.202.621 (RHSA-2016:1079); builds Linux posteriores (Gentoo apontou 11.2.202.626) também cobrem esta CVE dentro de um lote maior de correções.
Essas versões, porém, são apenas relevantes historicamente: a Adobe descontinuou o Flash Player em 31 de dezembro de 2020, parou de distribuir atualizações e os principais navegadores removeram suporte ao plugin. A mitigação real e permanente, conforme a própria entrada da CISA no KEV determina, é desinstalar o Flash Player e desconectar/isolar qualquer sistema legado que ainda dependa dele — não existe patch suportado a aplicar hoje.
Não funciona como mitigação: manter o Flash desabilitado 'por padrão' via click-to-play sem removê-lo não elimina o risco, pois ainda basta a interação do usuário para acionar o conteúdo malicioso; e regras de WAF não mitigam a falha, já que a exploração ocorre no parser client-side do plugin, não em uma requisição HTTP identificável de forma confiável no servidor.
How to detect
Não há assinatura de rede confiável descrita nas fontes disponíveis para identificar tentativas de exploração desta CVE especificamente — a entrega ocorre via SWF servido por HTTP/HTTPS comum, indistinguível de tráfego legítimo sem inspeção de conteúdo do próprio arquivo Flash. Em nível de endpoint, os indicadores clássicos de exploração de Flash Player da época eram: crash ou encerramento anômalo do processo do plugin (plugin-container, NPSWF, PepperFlash) seguido da criação de um processo filho inesperado a partir do navegador, e picos de uso de memória/CPU pelo processo do plugin imediatamente antes da falha. Nenhuma das fontes lidas fornece IOCs específicos (hashes, domínios, amostras) associados à campanha de maio de 2016.