Microsoft SharePoint Remote Code Execution Vulnerability

Falha de desserialização insegura (CWE-502) no Microsoft SharePoint Server que permite execução remota de código. Está no catálogo KEV da CISA com exploração confirmada in-the-wild, mas o vetor CVSS exige privilégios altos (PR:H) — não é uma falha anônima, o que reduz a superfície real de risco em relação ao que uma nota 'RCE crítico' sugere isoladamente.

A vulnerabilidade é classificada pela CISA como CWE-502 (Deserialization of Untrusted Data): algum componente do SharePoint desserializa dados fornecidos pelo usuário sem validação suficiente do tipo/conteúdo, permitindo que um atacante construa um objeto serializado malicioso que, ao ser reconstruído pelo servidor, dispara execução de código arbitrário no contexto do processo do SharePoint.

O vetor CVSS (AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H) indica ataque via rede, baixa complexidade técnica de exploração, sem necessidade de interação do usuário-vítima, mas exigindo privilégios altos (PR:H) do atacante — ou seja, é necessário que o atacante já possua uma conta autenticada com permissões elevadas no ambiente SharePoint, não apenas acesso anônimo ou de usuário comum. Impacto pleno em confidencialidade, integridade e disponibilidade, condizente com RCE no servidor.

As fontes disponíveis (advisory da Microsoft e KEV da CISA) não detalham o endpoint, a classe .NET específica ou o gadget de desserialização explorado — esse nível de detalhe técnico não foi divulgado publicamente pela Microsoft nem apareceu em writeups de pesquisadores nas referências catalogadas.

O vetor de ataque é rede (SharePoint expõe endpoints HTTP/HTTPS internos ou de intranet). O pré-requisito central, derivado do PR:H no CVSS, é posse de credenciais com privilégios elevados no site SharePoint alvo — a Microsoft não especificou publicamente, nas fontes consultadas, qual papel exato (ex.: proprietário de site, administrador de coleção) é necessário, mas o vetor descarta exploração por usuário anônimo ou de baixo privilégio.

A CISA confirma exploração ativa no mundo real (presença no catálogo KEV desde 22/10/2024, com prazo de mitigação até 12/11/2024), mas não publicou detalhes de campanha, atores ou setor-alvo nas páginas catalogadas aqui. Não há registro nas fontes de uso em ransomware.

Em ambientes reais, a pré-condição de privilégio elevado significa que o risco concentra-se em cenários onde um atacante já obteve uma conta comprometida (via phishing, credential stuffing, ou movimento lateral) com permissões administrativas ou de proprietário no SharePoint — não é uma falha explorável diretamente da internet por usuário anônimo, salvo se o SharePoint estiver configurado com controle de acesso fraco o suficiente para conceder esses privilégios facilmente.

A mitigação primária é aplicar a atualização de segurança da Microsoft para a versão do produto em uso (SharePoint Enterprise Server 2016, SharePoint Server 2019 ou SharePoint Server Subscription Edition), disponível a partir do Patch Tuesday de julho de 2024. As fontes consultadas não trazem os números de build/KB específicos por versão — consulte o Update Guide da Microsoft (MSRC) para o CVE para obter o identificador exato do patch aplicável ao seu ramo e idioma.

A CISA, no KEV, recomenda 'aplicar mitigações conforme instruções do fornecedor ou descontinuar o uso do produto se mitigações não estiverem disponíveis' — linguagem padrão do catálogo que reforça que não há paliativo de configuração documentado publicamente além do patch oficial.

Como controle compensatório, revisar e restringir a concessão de privilégios elevados (proprietário de site, administração de coleção de sites) reduz a superfície de ataque, já que a exploração depende de PR:H — isso não corrige a falha, mas limita quem pode tentar explorá-la enquanto o patch não é aplicado. Não há indicação nas fontes de que WAF ou hardening de rede sozinhos bloqueiem a exploração, já que o vetor é uma requisição autenticada legítima do ponto de vista de rede.

As fontes consultadas (advisory da Microsoft e catálogo KEV da CISA) não publicam indicadores de comprometimento, assinaturas de payload ou padrões de log específicos para esta CVE. Como é uma falha de desserialização exigindo autenticação privilegiada, sinais úteis a investigar seriam tentativas anômalas de requisições autenticadas com corpos de dados serializados incomuns contra endpoints do SharePoint, e logs de autenticação mostrando uso de contas com privilégio elevado fora do padrão de comportamento esperado — mas isso é inferência a partir da natureza da falha, não um IOC confirmado publicamente.