CVE-2023-41179

Falha de execução de código arbitrário (CWE-94) no módulo de desinstalação de antivírus de terceiros embutido no Trend Micro Apex One (on-prem e SaaS) e no Worry-Free Business Security/Services. O CVSS de 7.2 já reflete a limitação real do problema: exige acesso administrativo prévio ao console de gerenciamento, o que restringe drasticamente quem pode explorá-la — mas a Trend Micro confirmou exploração ativa antes da divulgação pública, e por isso entrou no KEV da CISA.

A vulnerabilidade está no módulo que o produto usa para desinstalar soluções antivírus concorrentes durante a instalação do agente Trend Micro. Esse módulo (3rd Party AV Uninstaller Module) aceita algum tipo de entrada manipulável — o JVN classifica como CWE-94 (Code Injection) — que permite a um operador do console de administração fazer o componente executar comandos arbitrários no host onde o agente de segurança está instalado, com privilégios de sistema.

Nem a Trend Micro nem o JVN publicaram o detalhe exato de qual campo ou parâmetro é injetável; a descrição oficial e o JVN só confirmam a superfície (o módulo de desinstalação de terceiros) e o CWE genérico de injeção de código. Não há PoC técnico público detalhando o payload.

O vetor CVSS da NVD (AV:N/AC:L/PR:H/UI:N/S:U) descreve exploração pela rede sem interação do usuário, mas com privilégio alto (PR:H) — ou seja, o atacante precisa estar autenticado como administrador no console de gerenciamento antes de acionar o módulo. Vale notar que o JVN pontuou a mesma falha com CVSS 9.1 (Scope:Changed), por considerar que a execução ocorre com escalonamento de privilégio no endpoint gerenciado além do escopo do console — divergência de metodologia entre NVD e JPCERT, não de fato técnico.

O pré-requisito central, repetido tanto na descrição oficial quanto no registro do KEV, é obter acesso ao console de administração do produto — não é uma falha explorável anonimamente pela internet. Um atacante com essa condição (via credenciais comprometidas, sessão administrativa roubada, ou acesso interno malicioso) pode manipular o módulo de desinstalação de AV de terceiros para fazer o agente Apex One/Worry-Free executar comandos arbitrários com privilégio de sistema na máquina onde o agente está instalado — efetivamente um salto de 'admin do console' para 'execução de código no endpoint gerenciado', que pode incluir servidores críticos.

A Trend Micro declarou ter observado exploração ativa desta vulnerabilidade antes da divulgação (refletido no comunicado 'CRITICAL SECURITY BULLETIN' e no alerta JPCERT-AT-2023-0021), e a CISA a incluiu no catálogo KEV em 21/09/2023 com prazo de correção em 12/10/2023, embora sem confirmar uso em campanhas de ransomware ('Unknown').

O cenário de risco real é o de um invasor que já comprometeu credenciais administrativas do console (por phishing, reuso de senha, ou pivotagem lateral) e usa essa falha para transformar esse acesso em execução de código com privilégio de sistema em todos os endpoints gerenciados pelo console — um multiplicador de impacto significativo em ambientes corporativos, mesmo que a porta de entrada não seja a própria CVE.

A correção definitiva é aplicar os patches do fornecedor: Apex One On Premise (2019) SP1 Patch 1 (build b12380); Worry-Free Business Security 10.0 SP1 Patch 2495; para Apex One as a Service, o Monthly Patch de julho de 2023 (202307), agente versão 14.0.12637; para Worry-Free Business Security Services (SaaS), o Monthly Maintenance Release de 31 de julho de 2023 já corrige a falha.

Se a atualização não for viável de imediato, o paliativo indicado pelo próprio fornecedor/JPCERT é restringir o acesso ao console de administração apenas a redes confiáveis (segmentação de rede, VPN, allowlist de IPs) — isso reduz a superfície de exposição da pré-condição (acesso ao console), mas não elimina o risco se um administrador legítimo tiver credenciais comprometidas ou se houver acesso interno malicioso.

Não existe mitigação via WAF ou controle de borda genérico, já que a falha atua no plano de gerenciamento do produto e não em uma interface web exposta tipicamente filtrável por esse tipo de controle; o controle compensatório real é reforçar MFA e monitoramento de sessões administrativas do console, complementando — não substituindo — o patch.

Nenhuma das fontes disponíveis publica indicadores de comprometimento, assinaturas de tráfego ou padrões de log específicos para esta CVE — a Trend Micro e o JPCERT confirmam exploração observada, mas não divulgaram detalhes técnicos de detecção. Na prática, o ponto de monitoramento mais útil é auditoria de acesso ao console de administração (logins administrativos anômalos, origem geográfica/IP inesperada, criação ou uso de contas de admin fora do padrão) e monitoramento de processos filhos anômalos gerados pelo serviço do agente Apex One/Worry-Free imediatamente após operações de desinstalação de AV de terceiros iniciadas pelo console.