CVE-2019-0708

BlueKeep é uma falha de use-after-free (CWE-416) no serviço Remote Desktop Services (antigo Terminal Services) do Windows, explorável sem autenticação e sem interação do usuário via RDP na porta 3389. Importa porque é wormable — um único pacote malformado durante o handshake RDP pode gerar execução de código com privilégios de SYSTEM, o que motivou comparações diretas com o vetor de propagação do WannaCry em 2017. Afeta apenas ramos legados do Windows (XP até Server 2008 R2); versões modernas (8, 10, Server 2012+) não são vulneráveis.

O problema está no subsistema RDP do Windows, especificamente na forma como o Terminal Services trata canais virtuais durante a negociação da conexão, antes de qualquer autenticação. Existe um canal reservado internamente pelo protocolo, conhecido como MS_T120, que não deveria ser acessível a canais definidos pelo cliente. Pesquisadores que reproduziram a falha (a Microsoft, em seu advisory original, descreveu apenas como 'unspecified vulnerability') demonstraram que um atacante pode abrir esse canal reservado por conta própria durante o handshake e manipular seu ciclo de vida, provocando a liberação de uma estrutura de memória que o kernel ainda referencia — o clássico use-after-free.

O vetor é puramente de rede: basta alcançar a porta TCP 3389 (RDP) do host vulnerável e conduzir o handshake do protocolo até o ponto de negociação de canais, sem necessidade de credenciais válidas, interação do usuário ou qualquer configuração não padrão — daí o CVSS 9.8. A condição que reduz drasticamente o risco, e que a manchete não destaca, é o Network Level Authentication (NLA): quando habilitado, o cliente precisa autenticar antes de chegar ao código vulnerável, o que bloqueia a exploração pré-autenticação (embora não elimine o risco de um atacante com credenciais válidas ou de um worm que já tenha comprometido outra máquina na mesma rede).

Na prática, os primeiros PoCs públicos (refletidos nos registros do Packet Storm) produziam apenas negação de serviço — crash do serviço RDP ou BSOD — porque conseguir execução de código estável com confiabilidade em diferentes builds do Windows exige contornar proteções de heap do kernel. A exploração de RCE completa e confiável (weaponização usada em módulos como o do Metasploit, disponibilizado meses depois da divulgação) elevou consideravelmente o risco de campanhas automatizadas em massa, e scans da internet em 2019 identificaram centenas de milhares de hosts com RDP exposto e sem correção. A CISA confirma exploração ativa (entrada no catálogo KEV), embora sem detalhar campanhas específicas de ransomware associadas a esse CVE em particular.

A correção definitiva é aplicar as atualizações de segurança lançadas pela Microsoft a partir de maio de 2019, disponibilizadas de forma excepcional inclusive para versões já fora do ciclo de suporte padrão (Windows XP e Server 2003), dado o risco de propagação semelhante a worm. Não há como corrigir a falha via configuração — o binário do subsistema RDP precisa ser substituído pelo patch oficial.

Quando a atualização não pode ser aplicada imediatamente, os paliativos reais documentados são: habilitar Network Level Authentication (NLA), que bloqueia o vetor pré-autenticação; restringir o acesso à porta 3389 por firewall a IPs de gerência confiáveis; e, quando o serviço não é necessário, desabilitar Remote Desktop Services por completo. Nenhum desses paliativos é substituto do patch — NLA não corrige o use-after-free, apenas eleva a barreira de pré-condição, e um atacante com credenciais válidas ou já presente na rede interna continua com o vetor disponível.

O mito a descartar: acreditar que estar 'atrás de VPN' ou de um perímetro resolve o problema. Como a falha é wormable, um único host comprometido dentro da rede interna (por outro vetor) pode escanear e se propagar lateralmente para qualquer outra máquina vulnerável com RDP acessível, independentemente de exposição direta à internet.

Não há uma assinatura de rede única e confiável para tentativas de exploração de RCE, já que o tráfego malformado ocorre dentro da negociação criptografada/binária do protocolo RDP. Sinais indiretos úteis incluem: crashes inesperados ou BSODs recorrentes envolvendo o driver do subsistema RDP/Terminal Services em hosts expostos na porta 3389 (característico das primeiras variantes de PoC, que causavam apenas DoS); volume anômalo de conexões RDP que completam o handshake inicial e são encerradas abruptamente antes da autenticação, típico de scanners de vulnerabilidade em massa; e presença de módulos de exploração conhecidos (como o do Metasploit) em ferramentas de segurança ofensiva na rede. A ausência de logs de autenticação para conexões RDP recebidas é esperada quando NLA está desabilitado, o que por si só já é um indicador de exposição, não de exploração.