Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability

Falha de execução remota de código (RCE) no Microsoft Support Diagnostic Tool (MSDT), explorável quando um documento do Office (tipicamente Word) invoca o protocolo de URL 'ms-msdt' a partir de conteúdo externo. Ficou conhecida como 'Follina' e foi amplamente explorada em campanhas reais antes mesmo da correção oficial, o que a colocou no catálogo KEV da CISA com prazo curto de mitigação. O impacto real depende dos privilégios do usuário que abre o documento — não é elevação de privilégio, é execução no contexto da vítima.

A vulnerabilidade está classificada pela CISA como CWE-610 (External Control of File Name or Path). O mecanismo abusa do protocolo de URL 'ms-msdt://', que o Windows registra para invocar a Ferramenta de Diagnóstico de Suporte da Microsoft. Um documento do Office malicioso pode referenciar, via recurso de template remoto do formato OOXML, um arquivo externo hospedado remotamente; esse arquivo, ao ser processado, contém uma referência que aciona o protocolo ms-msdt e passa parâmetros para o troubleshooter de diagnóstico do sistema.

O ponto central da falha é que o MSDT, quando chamado dessa forma, aceita e processa parâmetros controlados externamente sem validação suficiente, permitindo que o conteúdo desses parâmetros resulte em execução de comandos arbitrários — mesmo sem macros habilitadas e sem que o usuário precise interagir com um prompt de segurança de macro. Pesquisadores que dissecaram a falha publicamente (fora das fontes oficiais aqui citadas) demonstraram que o vetor funciona mesmo com a Proteção de Visualização (Protected View) ativa em certos fluxos, o que reduz significativamente a barreira de exploração comparado a ataques tradicionais baseados em macro VBA.

A descrição oficial da Microsoft é deliberadamente genérica ('MSDT é chamado usando o protocolo URL a partir de uma aplicação chamadora como o Word'), sem detalhar a cadeia técnica completa — o que é típico de advisories de fornecedor. O CVSS informado (7.8, AV:L) reflete que o vetor de ataque é classificado como local (o processamento ocorre na máquina da vítima após entrega do arquivo), não como ataque de rede direto contra um serviço exposto.

O vetor de entrega é um arquivo de documento do Office (relatos públicos mencionam formatos .docx e .rtf) enviado por e-mail ou outro canal, explorando a capacidade de referenciar um template externo hospedado em servidor controlado pelo atacante. A pré-condição real é interação do usuário: a vítima precisa abrir (ou, em variantes via RTF, apenas ter o arquivo processado pelo painel de visualização do Explorer) o documento malicioso — daí o UI:R no vetor CVSS. Não é necessária autenticação de rede nem configuração não padrão do Windows; o protocolo ms-msdt está presente por padrão nas versões afetadas.

A ação recomendada pela Microsoft e registrada no catálogo KEV é aplicar as atualizações do fornecedor para as versões afetadas listadas (Windows 7, e as versões de Windows 10 e Windows 11 relacionadas), com prazo de correção definido pela CISA como 2022-07-05 para agências federais dos EUA sujeitas ao KEV. Não temos, nas fontes apuradas, os números exatos de KB por versão — confirme no MSRC Update Guide (link oficial) o pacote correspondente à build específica antes de aplicar.

Antes da correção oficial, a Microsoft publicou um workaround no MSRC Blog baseado em desabilitar o protocolo de URL do MSDT via edição de registro, removendo a associação de protocolo — essa mitigação bloqueia o vetor de exploração mas também impede o funcionamento normal de diagnósticos que dependem desse protocolo (custo funcional real, não cosmético). Desabilitar o painel de visualização (preview pane) no Explorer reduz a superfície de ataque para a variante que dispensa abertura explícita do arquivo, mas não elimina o vetor via abertura direta no Word.

Não funciona como mitigação: apenas desabilitar macros do Office, já que a exploração não depende de macro VBA — esse é o mito mais comum associado a este CVE.

Em telemetria de endpoint, procurar processos msdt.exe ou sdiagnhost.exe gerados como filho de winword.exe, excel.exe, outlook.exe ou explorer.exe — essa cadeia de processo é atípica em uso legítimo. Logs de rede podem mostrar conexões de saída do Word/Office para domínios externos buscando arquivos HTML antes da invocação do MSDT, um padrão que difere do uso normal de templates locais.

Não há um único indicador de log nativo e confiável no Windows padrão para essa exploração sem Sysmon ou EDR configurado para capturar linha de comando completa dos processos filhos do MSDT — ambientes sem esse nível de instrumentação terão baixa visibilidade retroativa sobre tentativas passadas.