CVE-2020-1020
Priorize a correção. Ela está sob exploração confirmada pelo CISA e tem prova de conceito pública.
Apply updates per vendor instructions.
Resumo
Falha de execução remota de código no Adobe Type Manager Library do Windows (atmfd.dll), componente que processa fontes PostScript Type 1 multi-master. Afeta praticamente todas as versões suportadas do Windows na época — Windows 10 tem impacto reduzido porque o processo roda em sandbox AppContainer. Está no catálogo KEV da CISA por exploração confirmada em campo, e circula PoC pública, o que a torna prioridade real de patch e não apenas risco teórico.
Detalhamento técnico
A vulnerabilidade é uma escrita fora dos limites de buffer (CWE-787) na forma como o Adobe Type Manager Library do Windows faz o parsing de fontes Adobe Type 1 PostScript no formato multi-master. O parser não valida corretamente estruturas dentro da fonte antes de gravar dados, permitindo que um arquivo de fonte malformado corrompa memória do processo que o carrega.
O componente vulnerável, atmfd.dll, é carregado pelo kernel do Windows (via win32k.sys em versões antigas) sempre que o sistema precisa renderizar ou apenas exibir metadados de uma fonte — inclusive no Windows Explorer, ao mostrar o ícone/preview de um arquivo, sem que o usuário precise abri-lo de fato. Isso eleva a severidade porque reduz drasticamente a interação necessária.
O atacante controla o conteúdo binário do arquivo de fonte: os campos malformados na estrutura multi-master do Type 1 são o vetor de corrupção. Em versões pré-Windows 10, o parsing ocorre em contexto de kernel/privilegiado, o que historicamente permite escalonamento até execução arbitrária com privilégios altos. No Windows 10, a Microsoft isolou esse parsing em AppContainer, então o mesmo bug resulta em execução confinada a um sandbox de baixo privilégio — daí a distinção que a própria descrição oficial faz entre 'Windows 10' e 'todos os outros sistemas'.
Esta CVE é distinta da CVE-2020-0938, publicada no mesmo lote — ambas atacam a mesma família de componente (Adobe Type Manager Library) mas são falhas separadas, corrigidas juntas.
Como é explorada
O vetor típico é entrega de um arquivo de fonte malicioso (ou documento/arquivo que embute a fonte) por e-mail, download ou compartilhamento de rede. A pré-condição chave — e a mais subestimada em quem só lê a nota do CVSS — é que em versões pré-Windows 10 basta o Windows Explorer exibir o arquivo (preview, listagem com ícone) para o parser ser acionado; não é necessário abrir o documento em um leitor. Isso reduz a interação do usuário a praticamente zero cliques efetivos, apesar do vetor CVSS marcar UI:R (alguma interação, como navegar até a pasta).
Versões
Como se proteger
A correção definitiva é aplicar as atualizações de segurança da Microsoft para a linha 'Adobe Font Manager Library Remote Code Execution Vulnerability', publicadas junto com a correção da CVE-2020-0938 relacionada. Não há um número de KB ou versão de build confirmado nas fontes consultadas aqui — o operador deve validar contra o advisory oficial da Microsoft (MSRC) qual pacote cumulativo corresponde à sua versão específica de Windows/Windows Server antes de considerar o ambiente corrigido.
Como esta CVE está no catálogo KEV da CISA, a orientação da própria CISA é direta: 'aplicar atualizações conforme instruções do fornecedor', sem workaround alternativo formalmente endossado por ela. Qualquer mitigação compensatória (como restringir a exibição de preview de arquivos no Explorer ou bloquear tipos de arquivo de fonte na borda de e-mail/gateway) reduz superfície mas não elimina o risco em sistemas ainda sem o patch — deve ser tratada como paliativo temporário, não substituto do update.
Como detectar
Não há assinatura de rede confiável documentada nas fontes consultadas, já que a exploração ocorre no parsing local de um arquivo de fonte, não em tráfego de rede distintivo. Em ambientes corporativos, sinais indiretos a observar incluem: crashes ou eventos de erro do processo relacionado à renderização de fontes (atmfd.dll, win32k.sys ou processo do Explorer) em endpoints, chegada de arquivos de fonte (.pfb, .otf, .fon e afins) anômalos por e-mail ou download, e presença de indicadores associados às campanhas relatadas pela Microsoft em torno de março/abril de 2020, quando a exploração ativa foi inicialmente reportada.