CVE-2020-1020

Falha de execução remota de código no Adobe Type Manager Library do Windows (atmfd.dll), componente que processa fontes PostScript Type 1 multi-master. Afeta praticamente todas as versões suportadas do Windows na época — Windows 10 tem impacto reduzido porque o processo roda em sandbox AppContainer. Está no catálogo KEV da CISA por exploração confirmada em campo, e circula PoC pública, o que a torna prioridade real de patch e não apenas risco teórico.

A vulnerabilidade é uma escrita fora dos limites de buffer (CWE-787) na forma como o Adobe Type Manager Library do Windows faz o parsing de fontes Adobe Type 1 PostScript no formato multi-master. O parser não valida corretamente estruturas dentro da fonte antes de gravar dados, permitindo que um arquivo de fonte malformado corrompa memória do processo que o carrega.

O componente vulnerável, atmfd.dll, é carregado pelo kernel do Windows (via win32k.sys em versões antigas) sempre que o sistema precisa renderizar ou apenas exibir metadados de uma fonte — inclusive no Windows Explorer, ao mostrar o ícone/preview de um arquivo, sem que o usuário precise abri-lo de fato. Isso eleva a severidade porque reduz drasticamente a interação necessária.

O atacante controla o conteúdo binário do arquivo de fonte: os campos malformados na estrutura multi-master do Type 1 são o vetor de corrupção. Em versões pré-Windows 10, o parsing ocorre em contexto de kernel/privilegiado, o que historicamente permite escalonamento até execução arbitrária com privilégios altos. No Windows 10, a Microsoft isolou esse parsing em AppContainer, então o mesmo bug resulta em execução confinada a um sandbox de baixo privilégio — daí a distinção que a própria descrição oficial faz entre 'Windows 10' e 'todos os outros sistemas'.

Esta CVE é distinta da CVE-2020-0938, publicada no mesmo lote — ambas atacam a mesma família de componente (Adobe Type Manager Library) mas são falhas separadas, corrigidas juntas.

O vetor típico é entrega de um arquivo de fonte malicioso (ou documento/arquivo que embute a fonte) por e-mail, download ou compartilhamento de rede. A pré-condição chave — e a mais subestimada em quem só lê a nota do CVSS — é que em versões pré-Windows 10 basta o Windows Explorer exibir o arquivo (preview, listagem com ícone) para o parser ser acionado; não é necessário abrir o documento em um leitor. Isso reduz a interação do usuário a praticamente zero cliques efetivos, apesar do vetor CVSS marcar UI:R (alguma interação, como navegar até a pasta).

A correção definitiva é aplicar as atualizações de segurança da Microsoft para a linha 'Adobe Font Manager Library Remote Code Execution Vulnerability', publicadas junto com a correção da CVE-2020-0938 relacionada. Não há um número de KB ou versão de build confirmado nas fontes consultadas aqui — o operador deve validar contra o advisory oficial da Microsoft (MSRC) qual pacote cumulativo corresponde à sua versão específica de Windows/Windows Server antes de considerar o ambiente corrigido.

Como esta CVE está no catálogo KEV da CISA, a orientação da própria CISA é direta: 'aplicar atualizações conforme instruções do fornecedor', sem workaround alternativo formalmente endossado por ela. Qualquer mitigação compensatória (como restringir a exibição de preview de arquivos no Explorer ou bloquear tipos de arquivo de fonte na borda de e-mail/gateway) reduz superfície mas não elimina o risco em sistemas ainda sem o patch — deve ser tratada como paliativo temporário, não substituto do update.

Não há assinatura de rede confiável documentada nas fontes consultadas, já que a exploração ocorre no parsing local de um arquivo de fonte, não em tráfego de rede distintivo. Em ambientes corporativos, sinais indiretos a observar incluem: crashes ou eventos de erro do processo relacionado à renderização de fontes (atmfd.dll, win32k.sys ou processo do Explorer) em endpoints, chegada de arquivos de fonte (.pfb, .otf, .fon e afins) anômalos por e-mail ou download, e presença de indicadores associados às campanhas relatadas pela Microsoft em torno de março/abril de 2020, quando a exploração ativa foi inicialmente reportada.