CVE-2016-3298

Falha de divulgação de informação (CWE-200) na Internet Messaging API do Windows, usada pelo Internet Explorer 9 a 11, que permite a um site malicioso determinar se um arquivo específico existe no disco da vítima. O CVSS moderado (6.5) reflete corretamente o impacto limitado — só confidencialidade, sem execução de código —, mas a falha ganhou relevância por já estar sendo explorada antes da correção e por entrar tardiamente no catálogo KEV da CISA, em 2022, seis anos após o patch.

A vulnerabilidade está na Internet Messaging API do Windows, componente usado pelo mecanismo de renderização do Internet Explorer para interações relacionadas a mensagens/objetos em memória. O tratamento incorreto desses objetos permite que um atacante infira, por diferença de comportamento (timing, erro ou resposta observável a partir do script da página), se um caminho de arquivo arbitrário existe no sistema da vítima — sem ler o conteúdo do arquivo, apenas confirmar sua presença ou ausência.

O atacante controla o caminho de arquivo a ser testado a partir de uma página web maliciosa carregada no IE. Isso torna a falha útil como primitiva de reconhecimento: checar a existência de arquivos de antivírus, ferramentas de análise, sandboxes ou software de segurança instalados antes de decidir se entrega um exploit mais agressivo — um padrão comum em kits de exploração e spyware que fazem fingerprinting do ambiente da vítima antes do payload principal.

O detalhe operacional relevante é que a Microsoft corrigiu o problema em duas peças separadas: MS16-118 trata do lado do Internet Explorer (cumulativo), e MS16-126 corrige a própria Internet Messaging API. A Microsoft afirma explicitamente que instalar apenas uma das duas atualizações não elimina a vulnerabilidade — é preciso as duas.

O vetor é web: a vítima precisa abrir um site malicioso ou controlado pelo atacante no Internet Explorer (UI:R, requer interação do usuário). Não há necessidade de autenticação ou de configuração não padrão — qualquer instalação afetada do IE 9-11 nos sistemas operacionais listados está exposta assim que renderiza a página maliciosa.

A Microsoft classificou a falha como não divulgada publicamente antes da correção ('Publicly disclosed: No') mas já explorada ('Exploited: Yes') no momento do MS16-126, o que indica uso em campanhas restritas antes do patch. O catálogo KEV da CISA confirma exploração ativa, embora sem indicar se houve uso em ransomware. Não há, nas fontes disponíveis, detalhes públicos sobre o ator, a campanha específica ou a cadeia de exploração completa — apenas a confirmação de que a técnica foi usada para testar presença de arquivos no disco antes de decisões subsequentes do atacante.

O resultado final da exploração é limitado por natureza: o atacante aprende um bit de informação (arquivo existe / não existe) por tentativa. Isso não compromete a máquina por si só, mas serve como reconhecimento para escolher o próximo estágio de um ataque — por exemplo, evitar disparar um exploit de execução de código em uma máquina que tem determinado software de segurança instalado.

Aplicar as duas atualizações da Microsoft de outubro de 2016: a atualização cumulativa do Internet Explorer do MS16-118 (KB3192887, com o pacote específico por sistema, ex. KB3191492 para Vista/Server 2008) e a atualização da Internet Messaging API do MS16-126 (KB3196067/KB3193515). Instalar apenas uma delas não corrige a falha — a Microsoft é explícita nesse ponto.

A Microsoft declara não ter identificado fatores mitigantes nem workarounds para essa vulnerabilidade específica. Isso significa que não há flag de registro, configuração de zona de segurança do IE ou desativação de recurso documentada como paliativo eficaz — o caminho real é o patch completo (as duas atualizações).

Como controle compensatório amplo, dado que os sistemas afetados (Vista, Server 2008, Server 2008 R2, Windows 7) estão fora do ciclo de suporte estendido há anos, a mitigação estrutural é migrar para uma versão de Windows/navegador suportada — o Internet Explorer em si foi descontinuado. Ambientes legados isolados sem acesso à internet reduzem a superfície de ataque, mas não eliminam o risco se a máquina ainda acessa páginas web arbitrárias.

Não há assinatura de rede ou padrão de log documentado nas fontes oficiais para detectar tentativas de exploração — a técnica opera inteiramente no lado cliente, através de comportamento observável do IE/API ao testar caminhos de arquivo, sem tráfego de rede distintivo além do carregamento da página maliciosa em si. Na ausência de indicador confiável publicado pelo fornecedor, a defesa prática é telemetria de endpoint sobre processos do IE acessando ou testando caminhos de arquivo de forma anômala via script de página, e inventário de patch (KB3192887 + KB3196067 instalados) como sinal de exposição residual.