CVE-2016-7256

Falha crítica de execução remota de código no atmfd.dll, o componente do Windows responsável por renderizar fontes Open Type, corrigida pela Microsoft em novembro de 2016 (MS16-132). Está no catálogo KEV da CISA com exploração confirmada em campo, o que eleva sua prioridade mesmo se tratando de sistemas hoje fora de suporte padrão. O vetor mais citado é o navegador (fonte embutida em página web), mas qualquer aplicação que renderize fontes OpenType e passe por atmfd.dll é caminho de ataque potencial.

A vulnerabilidade está no ATMFD (Adobe Type Manager Font Driver, atmfd.dll), o componente legado que o Windows usa para interpretar fontes Type 1 e OpenType dentro do subsistema gráfico do kernel (win32k). O parser trata objetos em memória de forma incorreta ao processar uma fonte OpenType especialmente malformada — a Microsoft descreve isso genericamente como manipulação inadequada de fontes embutidas, sem detalhar publicamente se é overflow, use-after-free ou confusão de tipo. A CISA classifica a falha sob CWE-284 (Improper Access Control), o que sugere que o problema central é a falta de isolamento/validação sobre o que o parser de fonte pode fazer no contexto de execução em que roda, mais do que um bug clássico de corrupção de buffer isolado.

O atacante controla o conteúdo da fonte embutida — a estrutura interna dos glyphs, tabelas e metadados do arquivo OpenType. Como o atmfd.dll historicamente operava em contexto de kernel (win32k.sys) em versões mais antigas do Windows, um bug aqui podia significar execução de código com privilégios de kernel, não apenas de usuário — o que torna a falha particularmente severa em comparação com bugs de parsing em user-mode.

Um detalhe técnico relevante veio de discussão pública de pesquisadores (não do advisory oficial): após a correção, o parsing de fontes passou a ocorrer em um contexto menos privilegiado dentro do AppContainer/isolamento (via mecanismos como o Font Driver Host introduzido por essa família de patches), mas fontes nem sempre são interceptadas por esse isolamento — ou seja, a mitigação arquitetural da própria Microsoft (mover o parsing para fora do kernel) tinha lacunas de cobertura dependendo do caminho de carregamento da fonte.

O vetor primário descrito pela Microsoft é um site malicioso hospedando uma fonte OpenType corrompida, explorada via Internet Explorer/Edge ou qualquer aplicação que renderize a página — exige apenas que a vítima visite a página ou abra um documento com a fonte embutida (interação do usuário, UI:R no vetor CVSS). Não há indicação de necessidade de autenticação ou configuração não padrão: o vetor de rede (AV:N) e a baixa complexidade de ataque (AC:L) tornam o cenário de exploração amplo — qualquer usuário navegando é superfície de ataque.

O impacto documentado é execução arbitrária de código com os privilégios do usuário logado; dado o histórico do ATMFD operando em contexto elevado do sistema gráfico, a exploração bem-sucedida pode significar comprometimento total da máquina, não apenas do processo do navegador. A CISA confirma exploração ativa em campo (motivo da inclusão no catálogo KEV), mas não há detalhamento público de um grupo específico de ameaça, campanha nomeada, ou associação confirmada com ransomware — o próprio catálogo KEV marca esse campo como 'Unknown'.

Não há PoC público completo ou write-up técnico detalhado disponível nas fontes consultadas — apenas menções esparsas de pesquisadores sobre o comportamento pós-patch do parser. Isso limita a reconstrução de um exploit funcional a partir de material aberto, mas não diminui o risco histórico: a exploração já ocorreu antes da correção estar amplamente disseminada.

A correção oficial é a aplicação do boletim MS16-132 (KB3199120), publicado em 8 de novembro de 2016, que corrige o CVE-2016-7256 junto com outras três vulnerabilidades no componente gráfico do Windows (CVE-2016-7210, CVE-2016-7205, CVE-2016-7217). A Microsoft distribuiu atualizações específicas por versão e tipo de pacote (Security Only vs Monthly Rollup) para Windows Vista SP2, Server 2008 SP2/R2 SP1, Windows 7 SP1, 8.1, Server 2012/R2, RT 8.1 e Windows 10 (versões Gold, 1511, 1607) e Server 2016 — os KBs variam por plataforma e estão listados no boletim original.

Todas essas versões de sistema operacional estão hoje fora do ciclo de suporte padrão da Microsoft (exceto ramos com suporte estendido pago). Isso significa que ambientes que ainda rodam essas versões sem os patches de 2016 aplicados — situação plausível em sistemas legados isolados, ICS/OT ou infraestrutura esquecida — permanecem vulneráveis e não receberão nova correção fora de contratos de suporte estendido. Para esses casos, o único controle compensatório real é isolamento de rede rigoroso e desabilitar/restringir o carregamento de fontes remotas onde a aplicação permitir, mas isso não elimina o risco de forma equivalente ao patch.

Não há mitigação de configuração publicamente documentada que neutralize a falha sem o patch — restringir apenas o uso do Internet Explorer, por exemplo, não é suficiente, já que qualquer aplicação que passe fontes para o ATMFD é um vetor potencial. A atualização é a única correção validada pelo fornecedor.

Não há assinatura de detecção pública documentada nas fontes consultadas — nem regra de IDS/IPS, nem indicador de comprometimento específico associado à exploração desta CVE. Na ausência de PoC ou write-up técnico detalhado, o sinal mais realista é monitorar crashes ou comportamento anômalo de processos que renderizam conteúdo web (navegador, explorer.exe, processos relacionados a win32k) correlacionados a acesso a sites incomuns ou documentos com fontes embutidas, além de telemetria de EDR que sinalize exploração de win32k/GDI subsystem — mas isso é heurística geral, não detecção confiável e específica para o CVE-2016-7256.