CVE-2019-0703

Falha de divulgação de informação no Windows SMB Server: um atacante autenticado, com privilégio baixo e sem precisar de interação da vítima, pode enviar requisições SMB manipuladas e receber na resposta conteúdo de memória do servidor que não deveria ser exposto. O CVSS 6.5 reflete que não há impacto em integridade ou disponibilidade — só confidencialidade —, mas a falha está no catálogo KEV da CISA por exploração confirmada em ambiente real, o que eleva sua prioridade prática mesmo com nota moderada.

A descrição oficial da Microsoft é deliberadamente vaga: 'a forma como o Windows SMB Server trata certas requisições'. O vetor CVSS (AV:N/AC:L/PR:L/UI:N/C:H/I:N/A:N) entrega mais informação que o texto do advisory: exploração remota via rede, baixa complexidade, exige autenticação prévia (PR:L) mas nenhum privilégio administrativo, sem interação do usuário, e o único impacto é confidencialidade alta. Esse padrão é típico de falhas de leitura fora dos limites de buffer (CWE-125, out-of-bounds read) no parsing de pacotes SMB, em que o servidor devolve ao cliente mais dados do que deveria — fragmentos de memória de kernel ou de processo que podem conter credenciais, ponteiros ou dados de outras sessões.

A CVE é listada como distinta de CVE-2019-0704 e CVE-2019-0821, ambas do mesmo lote de correções de SMB publicado pela Microsoft em abril de 2019 — sinal de que o boletim tratou múltiplas falhas semelhantes no mesmo componente na mesma janela de patch, mas com causas ou pontos de código diferentes.

Não há, nas fontes disponíveis (advisory MSRC e catálogo KEV), detalhamento de qual comando SMB específico, qual estrutura de pacote ou qual campo de buffer é abusado. O MSRC trata isso apenas como 'certain requests', sem especificar dialeto SMB (v1/v2/v3) nem a rotina de kernel ou userland envolvida.

Pré-condição central, e é a informação mais relevante da página: o atacante precisa de autenticação prévia como usuário legítimo (PR:L) com acesso de rede ao serviço SMB Server, tipicamente na porta 445. Não é uma falha explorável anonimamente pela internet contra um host isolado — exige uma conta válida no domínio ou no host alvo, ainda que com privilégios mínimos. Isso restringe o cenário de maior risco a redes internas comprometidas, movimento lateral pós-comprometimento de credenciais, ou ambientes onde SMB está exposto a segmentos não totalmente confiáveis.

Com a conta autenticada, o atacante envia requisições SMB malformadas e recebe nas respostas conteúdo de memória do servidor que não deveria estar ali. Não há interação da vítima e a complexidade de exploração é considerada baixa, mas o resultado final é limitado a leitura de dados — não há escrita, execução de código ou negação de serviço documentados nesta CVE específica.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV (adicionada em 2022-05-23, prazo de correção 2022-06-13 para agências federais dos EUA), mas o próprio catálogo marca 'Known To Be Used in Ransomware Campaigns' como 'Unknown' — ou seja, há exploração documentada, porém sem atribuição a campanhas de ransomware conhecidas nem detalhes de quem exatamente exploitou, com que ferramenta ou em qual contexto.

A orientação da Microsoft e da CISA é a mesma: aplicar as atualizações de segurança do boletim de abril de 2019 que corrigem esta falha no Windows SMB Server. O advisory oficial do MSRC (link nas fontes) lista as atualizações por produto e versão de Windows/Windows Server — não reproduzimos aqui números de KB ou builds específicos porque essa granularidade não estava disponível no conteúdo lido, e listar o número errado é pior do que não listar nenhum. Consulte diretamente o MSRC para a versão de patch aplicável à sua edição de Windows.

Como paliativo enquanto o patch não é aplicado, reduzir a superfície de exposição do serviço SMB — restringindo o acesso à porta 445 a segmentos de rede confiáveis e aplicando princípio de menor privilégio nas contas com acesso ao servidor — diminui o universo de atacantes capazes de atender ao pré-requisito PR:L, mas não corrige a falha de leitura de memória em si.

Desabilitar SMBv1 isoladamente não deve ser tratado como mitigação garantida para esta CVE específica, pois as fontes disponíveis não confirmam qual dialeto SMB está envolvido; tratar isso como solução definitiva sem confirmar a versão exata do protocolo afetado é o tipo de suposição que este advisory não sustenta.

Não há, nas fontes lidas, assinatura de rede, IOC ou padrão de log publicamente confirmado e específico para esta CVE. De forma genérica, monitorar autenticações SMB seguidas de respostas de tamanho ou conteúdo anômalo (potencial vazamento de memória) pode ajudar em triagem, mas sem uma assinatura oficial isso gera muitos falsos positivos. A ausência de detalhe técnico público sobre o mecanismo exato de exploração é, em si, uma limitação relevante para quem tenta construir detecção — vale registrar isso explicitamente em vez de sugerir uma regra sem base confirmada.