CVE-2016-0185

Falha de RCE no Windows Media Center (Vista SP2, 7 SP1 e 8.1) explorada via arquivo .mcl malicioso: a associação de arquivo abre o Media Center, que processa o parâmetro "Run" da tag "Application" sem validar corretamente o caminho, permitindo apontar para executáveis em compartilhamentos remotos (WebDAV/SMB) e contornar avisos de segurança do Windows. Importa porque entrou no catálogo KEV da CISA anos depois da correção (2021), indicando reaproveitamento em campanhas reais mesmo após patch disponível desde 2016 — o risco residual é ambiente legado sem atualização, não um zero-day atual.

A vulnerabilidade (CWE-20, validação de entrada imprópria) está no parser de arquivos .mcl do Windows Media Center. Um .mcl é um arquivo de configuração XML-like que pode conter uma tag "Application" com atributo "Run" apontando para um executável a ser carregado pelo shell do Media Center (ehshell.exe). O parser não valida corretamente se o caminho referenciado está em local remoto, permitindo que o atacante escreva o caminho com o prefixo "file:///" antes do UNC path (ex.: file:///\\host\share\app.exe) para contornar o aviso de segurança que normalmente aparece ao tentar executar programas hospedados em shares WebDAV/SMB.

Mesmo contornando esse primeiro aviso, o Windows ainda exibe um diálogo "Open File" de segurança para arquivos localizados na Zona de Segurança da Internet (qualquer endereço não-local, incluindo localhost via IP tratado como remoto). Esse segundo aviso é contornado usando um atalho especial do tipo "Control Panel Shortcut" (.lnk) que aponta para um arquivo DLL/CPL remoto — o Explorer/CPL executa esse recurso sem repetir o prompt. O atacante controla integralmente o conteúdo do .mcl, o caminho da share remota e o binário/CPL final a ser executado.

O resultado é execução de código arbitrário no contexto do usuário logado, sem elevação de privilégio automática — o impacto real depende dos direitos da conta vítima. Em sistemas x64 é necessário fornecer uma DLL/CPL 64 bits (embora binários 32 bits também tenham funcionado nos testes do pesquisador).

Vetor primário: engenharia social. Em cenário de navegação web, a vítima precisa acessar uma página comprometida que hospeda o .mcl malicioso e o Windows precisa abrir esse arquivo com o Media Center (associação de extensão .MCL default). Em cenário de e-mail, a vítima precisa clicar em um link que baixa/abre o .mcl. Em ambos os casos há interação do usuário obrigatória (abrir o arquivo) — não há execução silenciosa sem clique.

O PoC público (Eduardo Braun Prado, EDB-39805, mesmo pesquisador que reportou via ZDI) demonstra a cadeia completa: um .mcl aponta para um compartilhamento (no exemplo, um share SMB local simulando remoto) contendo um atalho de Painel de Controle (.lnk) que executa um CPL, que por sua vez roda um comando arbitrário (calc.exe via cmd.exe na demonstração). Não há elevação de privilégio nem bypass de UAC — o código roda com os direitos da sessão do usuário que abriu o arquivo.

A Microsoft classificou a falha, no momento do boletim (maio/2016), como não divulgada publicamente e não explorada. A entrada no catálogo KEV da CISA é de novembro de 2021, cinco anos depois — isso indica exploração confirmada em algum momento posterior, provavelmente em ambientes legados sem o patch de 2016, não uma campanha contemporânea à publicação original.

A correção oficial é o boletim MS16-059 (KB3150220), lançado em 10/05/2016, que corrige como o Windows Media Center processa recursos referenciados no .mcl. Aplicar essa atualização remove o vetor. A Microsoft não identificou fatores mitigantes adicionais — ou seja, não há configuração padrão que reduza o impacto além do próprio patch.

Para sistemas que não podem ser atualizados, o workaround documentado pela Microsoft é remover a associação de arquivo .MCL via registro: exportar e excluir as chaves HKEY_CLASSES_ROOT\.MCL e HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.MCL (manualmente ou via script de implantação com Regedit.exe /s). Isso impede que o Media Center abra .mcl automaticamente ao clicar no arquivo, eliminando o vetor de abertura por duplo-clique/link, embora não corrija a falha subjacente no parser.

O Windows Media Center não existe no Windows 10/11 (removido), então essas versões não são afetadas por essa CVE especificamente — mas isso não é "mitigação", é ausência do componente. Bloquear tráfego SMB/WebDAV de saída (portas 445 e WebDAV via HTTP/HTTPS) para a internet reduz a capacidade de o .mcl referenciar shares externas, mas não impede ataques dentro da própria rede corporativa.

Não há assinatura de detecção documentada pela Microsoft ou pelos pesquisadores nas fontes consultadas. Como indicador possível: monitorar abertura de arquivos com extensão .mcl por processos não usuais (ehshell.exe sendo invocado a partir de downloads/e-mail), e conexões SMB/WebDAV de saída originadas pelo Media Center para hosts externos — mas não há regra ou IOC confirmado publicamente associado a essa CVE. A ausência de sinal confiável reforça que a defesa prática é patch/remoção de associação de arquivo, não detecção.