Microsoft Defender Remote Code Execution Vulnerability

Falha de execução remota de código no mecanismo de varredura do Microsoft Defender (Malware Protection Engine / mpengine.dll), que também afeta Microsoft Security Essentials e as gerações do System Center Endpoint Protection. Apesar do título 'remote code execution', o vetor CVSS é local (AV:L): o atacante precisa fazer o mecanismo escanear um arquivo malicioso — algo trivialmente alcançável remotamente via e-mail, download ou compartilhamento, já que o Defender varre arquivos automaticamente sem interação do usuário. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, o que eleva a urgência mesmo com CVSS moderado (7.8).

A CISA classifica a falha sob CWE-122 (heap-based buffer overflow) e CWE-1285 (validação inadequada de índice, posição ou offset especificado em entrada). Isso indica que o parser do mecanismo de varredura, ao processar um arquivo malformado, calcula incorretamente um offset ou índice dentro de um buffer alocado no heap, escrevendo além dos limites da estrutura de memória. O Microsoft Malware Protection Engine (mpengine.dll) é compartilhado por todos os produtos da linha Defender/Security Essentials/Endpoint Protection, o que explica a lista extensa de produtos afetados — todos herdam a mesma rotina de parsing vulnerável.

O atacante controla o conteúdo do arquivo submetido à varredura: basicamente qualquer byte da estrutura interpretada pelo parser pode ser manipulado para forçar o cálculo de offset incorreto e a corrupção de heap subsequente. O CVSS reflete AC:L (baixa complexidade) e UI:N (sem interação do usuário) porque, uma vez que o arquivo chega a um local monitorado pelo antivírus (download, anexo, pasta compartilhada), o próprio serviço de proteção em tempo real dispara a varredura automaticamente.

Microsoft não publicou detalhes técnicos sobre qual componente exato do parser (formato de arquivo, arquivo comprimido, executável) contém a falha; a descrição oficial é genérica ('unspecified vulnerability'). As referências primárias disponíveis (MSRC e CISA KEV) não detalham o formato de arquivo específico que dispara a corrupção — essa lacuna deve ser tratada como informação não confirmada publicamente, não como detalhe irrelevante.

O pré-requisito real é fazer o Microsoft Defender (ou produto equivalente) escanear um arquivo malicioso — não é necessário acesso à rede do serviço, autenticação no sistema alvo, nem qualquer ação da vítima além de o arquivo passar pelo caminho de varredura em tempo real (download, e-mail, mídia removível, compartilhamento de rede). Como a proteção em tempo real do Defender é ativada por padrão na maioria dos ambientes Windows, a superfície de exposição é ampla: qualquer vetor de entrega de arquivo já serve como vetor de exploração.

O PR:L no vetor CVSS indica que o atacante precisa de algum nível de privilégio mínimo (por exemplo, capacidade de colocar um arquivo em um local acessível ao sistema), mas não privilégio elevado. A exploração bem-sucedida corrompe heap dentro do processo do mecanismo de antimalware (que roda com privilégios elevados no sistema, tipicamente SYSTEM), o que torna a execução de código resultante particularmente valiosa para o atacante — potencial escalonamento de privilégios via um vetor que, à primeira vista, parece 'só' um antivírus rodando.

A CISA confirma exploração ativa ao incluir a CVE no catálogo KEV (adicionada em 2021-11-03, prazo de correção 2021-11-17), e existe PoC pública circulando, embora as fontes disponíveis não detalhem quem explorou, em qual campanha, nem a data exata da primeira exploração observada. Isso é consistente com o padrão histórico de CVEs no motor de varredura do Defender: divulgação e correção via atualização automática do engine, seguidas de PoCs de pesquisadores que retro-engenheiram o patch.

A correção é entregue pela própria Microsoft via atualização automática do Malware Protection Engine (mecanismo de varredura), distribuída por Microsoft Update, WSUS ou pelo canal de atualização de inteligência de segurança do Defender — não é um patch tradicional do Windows que exige reinicialização manual. Na maioria dos ambientes com atualizações automáticas habilitadas, a correção já foi aplicada silenciosamente pouco depois da divulgação em janeiro de 2021. As fontes revisadas não trazem o número exato de build do engine que corrige a falha; qualquer versão do Malware Protection Engine publicada após o aviso original do MSRC (janeiro de 2021) deve conter a correção — confirme a versão do engine instalada em vez de assumir a data.

O paliativo real para quem não recebe atualizações automáticas (ambientes air-gapped, políticas corporativas que bloqueiam atualização automática do Defender, ou produtos legados como Microsoft Security Essentials/SCEP fora do ciclo de suporte) é forçar manualmente a atualização de inteligência de segurança e do engine antes de expor o sistema a arquivos não confiáveis. Para System Center Endpoint Protection 2012/2012 R2 e Security Essentials, verifique se o produto ainda está dentro do ciclo de suporte da plataforma Windows subjacente — engines vinculados a sistemas operacionais fora de suporte podem não receber mais atualizações de segurança independentemente da ação do administrador.

Não funciona como mitigação: desabilitar a varredura em tempo real reduz a superfície de ataque para essa CVE especificamente, mas remove a proteção contra malware em geral — não é um controle compensatório recomendável, é troca de um risco por outro maior. Da mesma forma, bloquear tráfego de rede não mitiga a falha, já que o vetor de exploração é o processamento local de um arquivo pelo engine, não uma exposição de serviço de rede.

Não há assinatura de rede confiável para essa falha, já que a exploração ocorre no processamento local de um arquivo pelo mecanismo de varredura, não em tráfego de rede. Os sinais mais úteis são: falhas ou travamentos do processo do serviço antimalware (MsMpEng.exe) registrados no Visualizador de Eventos do Windows, entradas no log operacional do Windows Defender indicando erros de varredura ou crashes recorrentes ao processar um arquivo específico, e dumps de memória do processo do engine coincidindo com a chegada de um arquivo suspeito. Como existe PoC pública, ambientes com telemetria de EDR devem monitorar crashes do processo de antimalware como possível indicador de tentativa de exploração, mesmo sem uma assinatura definitiva.