CVE-2019-1130

Falha de elevação de privilégio local no Windows AppX Deployment Service (AppXSVC), o serviço que instala e atualiza pacotes AppX/UWP com privilégios de SYSTEM. Um usuário autenticado com privilégios baixos pode abusar de hard links para fazer o serviço operar sobre arquivos que ele não deveria poder tocar, obtendo controle total do sistema. Está no catálogo KEV da CISA — houve exploração confirmada em ambiente real, apesar do EPSS baixo e de não haver registro de uso em campanhas de ransomware.

A CVE é classificada como CWE-59 (Improper Link Resolution Before File Access — 'link following'). O AppXSVC roda com privilégios de SYSTEM e, durante a instalação/atualização de um pacote AppX, precisa criar, mover ou excluir arquivos dentro de diretórios que o usuário controla parcialmente (a pasta de origem do pacote). O problema é que o serviço não valida adequadamente se um caminho de arquivo é, na verdade, um hard link apontando para um arquivo fora do escopo esperado antes de operar sobre ele.

Um hard link faz dois caminhos de sistema de arquivos apontarem para o mesmo dado subjacente (mesmo inode/registro MFT no NTFS). Se um processo com privilégio baixo conseguir plantar um hard link no lugar de um arquivo que o AppXSVC vai processar, e o serviço seguir esse link sem verificar a identidade real do arquivo, a operação privilegiada (escrita, substituição, exclusão) acaba recaindo sobre o alvo real do link — não sobre o arquivo que o serviço pensava estar manipulando.

O que o atacante controla é o conteúdo e a estrutura de um pacote AppX malicioso (ou de arquivos dentro de uma pasta usada no processo de deployment) e a criação do hard link em si, algo que qualquer usuário autenticado consegue fazer no NTFS sem privilégio elevado. O resultado prático documentado pela Microsoft é escrita/substituição de arquivo arbitrário com os privilégios de SYSTEM do serviço, o que abre caminho para execução de código arbitrário com privilégio de sistema.

A descrição oficial destaca que esta CVE é distinta da CVE-2019-1129, publicada no mesmo lote — outra falha de elevação de privilégio no mesmo AppXSVC, também via hard link, mas tratada pela Microsoft como vulnerabilidade separada (patches e vetores de exploração diferentes, mesmo mecanismo de classe).

O vetor é estritamente local (AV:L) e exige que o atacante já tenha uma sessão autenticada no sistema, ainda que com privilégio baixo (PR:L) — não é uma falha de rede nem de acesso não autenticado. Não requer interação do usuário-vítima (UI:N) e a complexidade de ataque é considerada baixa (AC:L), o que é coerente com o padrão de exploits de EoP local via link following: o atacante prepara a estrutura de arquivos/hard links e dispara uma instalação ou atualização de pacote AppX que force o AppXSVC a operar sobre o alvo manipulado.

O ganho final, segundo o CVSS publicado (C:H/I:H/A:H), é comprometimento total de confidencialidade, integridade e disponibilidade — na prática, escalada de um usuário padrão para SYSTEM. Esse é o padrão clássico de exploração dessas falhas: primeiro estágio de uma cadeia de ataque, usado depois de já ter obtido execução de código com privilégio baixo (via phishing, exploração de aplicação, etc.), para virar administrador da máquina.

A CVE está no catálogo KEV da CISA, o que confirma exploração ativa documentada em algum momento, mas o catálogo não detalha campanha, ator ou contexto de uso — apenas classifica a técnica (CWE-59) e determina prazo de correção para agências federais dos EUA. Não há, nas fontes consultadas, indicação de uso em ransomware nem detalhamento público de um exploit weaponizado específico.

A correção é a atualização de segurança da Microsoft referenciada no advisory do MSRC para CVE-2019-1130. A publicação da CVE em 29/07/2019 é consistente com o ciclo de Patch Tuesday daquele mês, mas as fontes disponíveis não trazem o número de KB/build exato da correção — não invente esse dado; confirme diretamente no advisory do MSRC (portal.msrc.microsoft.com) qual atualização cumulativa para Windows 10 versão 1903 e Windows Server versão 1903 corrigiu especificamente este CVE antes de considerar o ambiente corrigido.

Como é falha local que depende de uma sessão autenticada de baixo privilégio, o controle compensatório mais relevante quando o patch não pode ser aplicado imediatamente é reduzir a superfície de usuários com logon interativo/local nas máquinas afetadas e restringir quem pode instalar/registrar pacotes AppX. Isso não elimina o risco, apenas reduz quem pode tentar.

Não existe mitigação de configuração documentada nas fontes consultadas que substitua o patch (não há flag de registro ou GPO oficial mencionada pela Microsoft para este CVE específico). Desabilitar o AppXSVC por completo quebra a instalação/atualização de aplicativos da Microsoft Store e de apps UWP, o que geralmente é inviável em produção — não trate isso como mitigação leve sem medir esse custo.

Não há assinatura de rede a procurar, por se tratar de exploração estritamente local. Em nível de host, os sinais possíveis são: criação de hard links por processos ou usuários não administrativos apontando para arquivos de sistema sensíveis (rastreável via auditoria de sistema de arquivos do NTFS, se habilitada, monitorando eventos de criação de link), seguida de atividade do AppXSVC (instalação/atualização de pacote AppX) disparada por usuário sem privilégio administrativo em janela de tempo próxima.

Na prática, sem auditoria de sistema de arquivos ativada previamente (não é padrão em instalações comuns) e sem telemetria EDR específica para operações de link no contexto de deployment de pacotes, não há sinal confiável retroativo — isso é uma limitação real de detecção para quem não tinha instrumentação prévia no host.