CVE-2016-7855

Use-after-free no Adobe Flash Player explorado ativamente em campanhas reais a partir de outubro de 2016, antes mesmo de existir correção pública. Afeta qualquer navegador com o plugin Flash vulnerável (via Internet Explorer, Edge ou Firefox/NPAPI) e permite execução remota de código com os privilégios do processo que renderiza o SWF. O Google Threat Analysis Group reportou a falha à Adobe como 0-day usado em conjunto com uma escalada de privilégios no kernel do Windows (vulnerabilidade distinta, sem CVE-2016-7855 associada diretamente à parte do kernel).

A falha é um use-after-free (CWE-416) no motor de renderização/ActionScript do Flash Player. A Adobe não detalhou publicamente o componente interno exato nem a sequência de código que libera e reusa o objeto — o advisory oficial (APSB16-36) trata a causa como 'vetores não especificados', prática comum da Adobe para vulnerabilidades de memória críticas. O padrão típico desse tipo de falha em Flash é um objeto ActionScript (ou estrutura de renderização) ser liberado durante um callback ou evento, mas uma referência antiga permanecer acessível e ser usada posteriormente, dando ao atacante controle sobre o conteúdo da memória realocada.

O atacante controla o conteúdo de um arquivo SWF malicioso — o vetor de entrada é o parser/interpretador do Flash processando esse arquivo. Ao manipular a estrutura do SWF para forçar a liberação do objeto em um momento previsível e depois reocupar aquele espaço de memória com dados controlados, é possível corromper ponteiros e, a partir daí, desviar o fluxo de execução para código arbitrário.

O Google TAG associou esse 0-day a uma campanha que também explorava, de forma encadeada, uma escalada de privilégio no kernel do Windows (via win32k.sys, chamada NtSetWindowLongPtr) para escapar do sandbox do navegador — mas essa segunda falha é uma vulnerabilidade separada, sem CVE atribuída no material disponível, e não faz parte do escopo técnico da CVE-2016-7855 em si.

O vetor é web: o atacante hospeda ou compromete uma página contendo SWF malicioso e precisa convencer a vítima a visitá-la (phishing, link em e-mail, anúncio malicioso) — não há como forçar a visita, conforme a própria Microsoft descreve no MS16-128. Não é necessária autenticação nem configuração não padrão; basta o Flash Player vulnerável estar habilitado no navegador (IE, Edge ou plugin NPAPI em outros navegadores/Linux).

A exploração foi confirmada em campanhas reais detectadas pelo Google TAG em outubro de 2016, antes da disponibilização de patch — por isso está no catálogo KEV da CISA como exploração ativa confirmada. Existe PoC pública documentada. O resultado final da exploração bem-sucedida é execução de código arbitrário no contexto do processo do navegador/plugin, que os atacantes observados encadearam com uma escalada de privilégio de kernel para escapar de sandboxes (ex.: sandbox do Chrome, mitigado por Win32k lockdown no Windows 10).

A complexidade de exploração de use-after-free em Flash costuma ser considerada baixa a moderada por atores já experientes no ecossistema — havia, na época, ferramental e técnicas de heap grooming maduras para esse tipo de alvo, o que explica a adoção rápida em campanhas direcionadas.

A correção do fornecedor é atualizar para Adobe Flash Player 23.0.0.205 ou posterior no Windows e OS X, e para 11.2.202.643 ou posterior no Linux. Distribuições Linux publicaram pacotes próprios: Red Hat via RHSA-2016:2119 (flash-plugin 11.2.202.643) e Gentoo via GLSA 201610-10 (aceita 11.2.202.635, .643 ou .644 dependendo da revisão). No Windows, a Microsoft distribuiu o mesmo update do Flash embutido em Internet Explorer/Edge via MS16-128 (KB3201860).

Não há workaround real documentado pelos fornecedores — o próprio GLSA da Gentoo afirma explicitamente 'não há workaround conhecido'. A mitigação prática mais efetiva quando a atualização imediata não é possível é desabilitar o plugin Flash no navegador ou bloquear a execução automática de conteúdo SWF (click-to-play), reduzindo a superfície de exposição sem eliminar a falha subjacente.

Como mito a descartar: apenas restringir a Compatibility View list no IE (mencionado pela Microsoft como fator mitigante parcial em cenários legados de Windows 8-style UI) não impede exploração em navegadores modernos ou fora desse cenário específico — é um atenuante de exposição, não uma correção.

Não há assinatura de rede ou log genérico confiável documentado nas fontes disponíveis para detectar exploração dessa CVE especificamente — a exploração ocorre dentro do parsing interno do SWF pelo Flash Player, sem padrão de rede distintivo publicado. Ambientes que registram carregamento de objetos Flash/SWF de origens externas incomuns, ou que possuem telemetria de crash do processo do navegador/plugin (indicativo de corrupção de memória) em torno de outubro de 2016, podem correlacionar esses eventos como possível tentativa, mas não é um indicador definitivo — a ausência de sinal claro é, em si, informação relevante para quem investiga incidentes retroativamente.