CVE-2019-0863

Falha de elevação de privilégio local no Windows Error Reporting (WER), o subsistema que coleta e processa relatórios de falha (crash dumps) no Windows. Um atacante que já tenha uma sessão local com privilégios baixos pode abusar da forma como o WER manipula arquivos para conseguir execução de código em modo kernel, ou seja, virar SYSTEM. Importa porque está no catálogo KEV da CISA — houve exploração confirmada no mundo real — e porque LPEs desse tipo são o passo padrão pós-comprometimento inicial em quase toda cadeia de ataque contra Windows.

A descrição oficial da Microsoft é deliberadamente vaga: 'an elevation of privilege vulnerability exists in the way Windows Error Reporting (WER) handles files'. A entrada da CISA no catálogo KEV acrescenta um dado relevante que a descrição do fornecedor omite: a falha permite 'code execution in kernel mode', não apenas escalonamento para um usuário mais privilegiado — o impacto vai até o nível de kernel.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N) mostra que é execução puramente local, sem interação do usuário, com complexidade de ataque baixa e exigindo apenas privilégio baixo (PR:L) — ou seja, uma conta comum já é suficiente para tentar a exploração. Os componentes de impacto (C:H/I:H/A:H) indicam comprometimento total do sistema.

O mecanismo exato — qual arquivo do WER é manipulado, qual API ou operação de sistema é abusada — não está detalhado nem no advisory do MSRC nem nas fontes disponíveis aqui além da frase genérica acima. O nome do PoC público catalogado, 'Angry Polar Bear 2', sugere continuidade com uma linha de exploits anteriores contra o WerFault.exe (o processo que trata os crash dumps, historicamente executado com privilégios elevados), mas o conteúdo técnico detalhado desse PoC não foi lido para esta página e não deve ser tratado como confirmado sem verificação direta na fonte.

Não há CWE oficial associado nas fontes consultadas. Qualquer classificação (ex.: link following, TOCTOU, race condition) seria especulação e não consta do advisory nem do NVD conforme apurado — por isso não é afirmada aqui.

O pré-requisito real, que a manchete de 'elevação de privilégio' já entrega mas vale reforçar: o atacante precisa de acesso local prévio à máquina Windows, mesmo que com conta de privilégio baixo. Não é uma falha exploravel remotamente sem outro vetor de entrada — é o segundo estágio de um ataque, tipicamente usado depois de phishing, exploração de outra aplicação, ou acesso físico/RDP com credenciais limitadas.

Com esse acesso, a exploração não exige interação do usuário (UI:N) e tem complexidade baixa (AC:L), o que a torna atrativa como módulo de escalonamento em toolkits pós-exploração. O resultado documentado pela CISA é execução de código em modo kernel — controle total da máquina, superior a um simples 'virar administrador'.

A presença no catálogo KEV da CISA (adicionada em 2021-11-03, com prazo de correção definido para 2022-05-03 para agências federais dos EUA) confirma exploração ativa no mundo real, mas a CISA não detalha atores, campanhas ou volume de exploração — apenas que a técnica foi usada. Existe PoC público referenciado (packetstormsecurity, 'Angry Polar Bear 2'), o que reduz a barreira para reprodução por qualquer atacante com acesso local, independentemente de sofisticação.

A ação recomendada pela própria CISA no KEV é genérica: 'Apply updates per vendor instructions'. A correção da Microsoft foi publicada no mesmo ciclo em que a CVE foi divulgada (16/05/2019, coincidindo com o Patch Tuesday de maio de 2019), mas o número de KB/build específico por produto (Windows 10 1903, Windows Server 1903 Server Core) não está confirmado nas fontes consultadas para esta página — verifique o advisory do MSRC (portal.msrc.microsoft.com) para o KB exato aplicável à sua versão antes de considerar o ambiente corrigido.

Como é uma LPE local, não existe mitigação de rede ou WAF que reduza a exposição — o controle compensatório real é limitar quem tem acesso interativo (logon local, RDP, sessões de terminal) às máquinas afetadas, já que PR:L significa que basta uma conta de baixo privilégio comprometida. Reduzir a superfície de contas com logon local em servidores Windows 1903 é paliativo, não substitui o patch.

Não há mitigação por desativação de componente documentada nas fontes: desabilitar o serviço WER por completo não é uma recomendação oficial da Microsoft para esta CVE e pode ter efeitos colaterais em diagnóstico de falhas — trate como hipótese não validada, não como instrução.

Não há assinatura ou IOC público confirmado nas fontes consultadas. A CISA não publica indicadores de comprometimento associados a esta entrada do KEV, apenas confirma exploração histórica. Na ausência de sinal documentado, o monitoramento razoável é comportamental: atividade anômala do processo WerFault.exe (criação ou manipulação inesperada de arquivos/links fora do diretório padrão de crash dumps, execução seguida de escalonamento de token para SYSTEM em conta que não deveria ter esse privilégio) — mas isso é inferência de defesa em profundidade, não uma detecção validada para esta CVE específica.