CVE-2019-1385

Falha de elevação de privilégio no Windows AppX Deployment Extensions (WSService responsável por instalar pacotes AppX/MSIX) que permite a um usuário autenticado, com código de baixo privilégio em execução, sobrescrever arquivos do sistema aos quais normalmente não teria acesso de escrita. Está no catálogo KEV da CISA como exploração confirmada, mas o vetor é estritamente local — não há componente remoto ou de rede.

A vulnerabilidade está classificada como CWE-59 (Improper Link Resolution Before File Access, 'Link Following'). O serviço de implantação de AppX processa operações de arquivo durante a instalação/atualização de pacotes com privilégios mais altos que o usuário que dispara a operação. Segundo a Zero Day Initiative (ZDI-19-979), o problema concreto é que o serviço pode ser abusado por meio da criação de um hard link: o atacante cria um link físico apontando para um arquivo alvo controlado pelo sistema, e quando o AppX Deployment Service executa sua rotina privilegiada sobre o caminho esperado, ele acaba operando sobre o arquivo apontado pelo link em vez de validar corretamente a identidade/permissões do destino.

O ponto central é que o serviço não verifica adequadamente se o caminho que está manipulando ainda é o objeto original antes de agir com privilégio elevado — um clássico TOCTOU/link-following em operações de arquivo privilegiadas. O atacante controla o link (nome, localização e para onde ele aponta), mas não controla arbitrariamente o conteúdo escrito pelo serviço; o abuso demonstrado pela ZDI resulta em sobrescrita do conteúdo do arquivo escolhido, o que a ZDI classificou como negação de serviço (CVSS 6.1, impacto de integridade limitado e disponibilidade alta). A Microsoft, por outro lado, descreve o impacto como elevação de privilégio com acesso a arquivos de sistema (CVSS 7.8, com confidencialidade, integridade e disponibilidade altas) — as duas fontes descrevem a mesma falha de gerenciamento de privilégio, mas atribuem impactos finais diferentes, o que sugere que a primitiva de escrita/sobrescrita arbitrária pode ser encadeada para mais do que apenas corromper um arquivo, dependendo do arquivo de sistema escolhido como alvo.

O requisito de privilégio (PR:L) e a ausência de interação do usuário (UI:N) no vetor CVSS da Microsoft indicam que basta ter uma sessão local autenticada de baixo privilégio para acionar a rotina vulnerável — não é necessário engano de terceiros nem interação de outro usuário.

A exploração exige acesso local prévio: o atacante precisa já ter a capacidade de executar código como usuário autenticado (mesmo de baixo privilégio) na máquina Windows afetada. Não há vetor remoto, de rede ou via arquivo malicioso enviado por e-mail nesta CVE especificamente — o pré-requisito é execução de uma 'aplicação especialmente criada' localmente, conforme a própria Microsoft descreve.

Na prática documentada pela ZDI, o atacante cria um hard link para um arquivo alvo e aciona o AppX Deployment Service para que ele opere sobre esse caminho com privilégio elevado, resultando na sobrescrita do arquivo apontado. Isso é uma técnica clássica de escalonamento via serviço privilegiado que segue links sem validação — a complexidade de exploração é baixa (AC:L) uma vez que o atacante já tenha pé local, mas requer conhecimento de qual arquivo de sistema atacar e o timing correto de disparo do serviço em relação à criação do link.

A presença no catálogo KEV da CISA (adicionada em maio de 2022, quase três anos após a divulgação) confirma exploração observada in-the-wild, tipicamente como etapa de escalonamento de privilégio dentro de uma cadeia de ataque pós-comprometimento — o cenário mais provável é um atacante que já obteve execução de código com privilégio baixo (via phishing, outro exploit, ou acesso legítimo limitado) usando esta falha para elevar a sessão a SYSTEM ou obter acesso de escrita a arquivos protegidos, e então prosseguir com persistência ou movimento lateral.

A correção definitiva é aplicar a atualização de segurança da Microsoft referente a esta CVE, disponível a partir do Patch Tuesday de novembro de 2019, que corrige como o AppX Deployment Extensions gerencia privilégios. O advisory oficial do MSRC (portal.msrc.microsoft.com) lista os KBs específicos por edição/arquitetura do Windows 10 versão 1903 e Windows Server, versão 1903 (Server Core); consulte-o para o número exato de KB aplicável à sua build, pois este texto não reproduz números de patch não confirmados na fonte.

Se a atualização não puder ser aplicada imediatamente, não existe um paliativo de configuração documentado que neutralize a falha sem tocar no binário do serviço — desabilitar o AppX Deployment Service pode quebrar instalação/atualização de aplicativos UWP/MSIX no sistema, então avalie o impacto operacional antes de usar essa medida como mitigação temporária. Como controle compensatório geral, restringir quem tem execução de código local (least privilege, aplicação de whitelisting de processos, EDR monitorando criação de hard links por processos não privilegiados apontando para diretórios de sistema) reduz a superfície, mas não elimina a vulnerabilidade em si.

Não funciona como mitigação: apenas restringir acesso de rede ou usar firewall — esta é uma falha estritamente local, sem componente de rede explorável, então controles perimetrais não têm efeito sobre ela.

Não há assinatura pública consolidada de detecção para exploração desta CVE. Como indicador possível, monitore no host a criação de hard links por processos de baixo privilégio direcionados a arquivos de sistema, e correlacione com execuções do AppX Deployment Service (AppXSvc) / eventos de Windows Application Deployment (log Microsoft-Windows-AppXDeploymentServer) ocorrendo em sequência próxima à criação desses links — esse padrão temporal (link seguido de atividade privilegiada do serviço sobre o mesmo caminho) é a assinatura comportamental da técnica descrita pela ZDI, mas não há IOC de rede ou hash de exploit público conhecido associado a campanhas específicas nas fontes revisadas.