CVE-2019-1315

Falha de elevação de privilégio local no Windows Error Reporting (WER), causada pela forma como o serviço resolve hard links antes de acessar arquivos. Um usuário autenticado com privilégios baixos pode abusar disso para forçar o processo do WER — que roda como SYSTEM — a sobrescrever um arquivo arbitrário, abrindo caminho para escalada a SYSTEM. Está no catálogo KEV da CISA, o que indica exploração confirmada em campo, tipicamente como etapa de post-exploitation depois de já haver acesso local à máquina.

A causa raiz é CWE-59 (Improper Link Resolution Before File Access — 'Link Following'). O componente de Windows Error Reporting, ao processar relatórios de falha, manipula arquivos em diretórios onde usuários com privilégios baixos têm permissão de escrita. Se o atacante substitui um arquivo esperado por um hard link apontando para um arquivo protegido do sistema, o WER — rodando com token de SYSTEM — segue esse link e escreve/sobrescreve no destino do link em vez do arquivo original, sem validar se o alvo final ainda pertence ao contexto de baixo privilégio do usuário.

O atacante controla o conteúdo do arquivo de origem (o hard link) e escolhe o arquivo de destino a ser sobrescrito, desde que o WER tenha permissão de escrita nele (ele roda como SYSTEM, então praticamente qualquer arquivo do sistema é candidato). O resultado prático é corrupção ou substituição controlada de um arquivo privilegiado — por exemplo, um binário ou biblioteca carregada por um processo SYSTEM — que, combinada com a sobrescrita de conteúdo, vira execução de código com privilégios elevados.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N) resume as pré-condições: acesso local à máquina, privilégios baixos já obtidos (uma sessão de usuário comum), nenhuma interação de outro usuário necessária, e complexidade de ataque baixa. Não é uma falha exploravel remotamente nem por um usuário anônimo — o atacante já precisa estar logado, ainda que como conta de baixo privilégio.

A CVE é distinta de CVE-2019-1339 e CVE-2019-1342, que a Microsoft tratou como vulnerabilidades separadas apesar de residirem na mesma área funcional (WER) e provavelmente compartilharem padrão de exploração via link following.

A exploração exige que o atacante já tenha uma sessão local no Windows afetado, com uma conta de usuário padrão (sem privilégios administrativos). A partir daí, ele cria um hard link em um local que o processo do WER manipula, apontando para o arquivo alvo que deseja sobrescrever, e então provoca ou aguarda um evento de erro que leve o WER (executado como SYSTEM) a processar esse caminho. A janela de corrida entre a criação do relatório de erro e o acesso ao arquivo pelo processo privilegiado é o que a classe de bug de link-following costuma explorar.

O impacto final documentado pela CISA é sobrescrita de arquivo alvo levando a status elevado — ou seja, escalada de privilégio local, potencialmente até SYSTEM, dependendo de qual arquivo é substituído. Existe PoC pública conhecida e a CVE está listada no catálogo KEV da CISA, com exploração ativa confirmada; a entrada foi adicionada ao catálogo em 15/03/2022, quase três anos após a divulgação original, o que sugere reaproveitamento tardio da falha — comum em toolkits de escalada de privilégio local usados após comprometimento inicial, já que esse tipo de bug não abre porta de entrada, mas amplia acesso já obtido.

Não há indicação nas fontes coletadas de uso específico em campanhas de ransomware (o campo correspondente no KEV está em branco), mas a presença no catálogo obrigatório de correção para agências federais dos EUA confirma exploração real, não apenas teórica.

A correção oficial veio pela atualização de segurança da Microsoft distribuída no Patch Tuesday de outubro de 2019, mesmo mês da publicação da CVE. As fontes coletadas não trazem o número de KB específico por versão — para aplicar corretamente, consulte o advisory da Microsoft (MSRC) filtrando pela versão exata de Windows 10 1903 ou Windows Server 1903 em uso, e confirme a build instalada via winver ou Get-HotFix.

Como paliativo, não há uma configuração ou flag documentada que desabilite seletivamente o comportamento vulnerável do WER sem perder a funcionalidade de relatório de erros; a única mitigação real e completa é a atualização. Restringir a criação de hard links por usuários não administrativos em diretórios usados pelo WER reduziria a superfície, mas não é um controle suportado nem testado pela Microsoft, e pode quebrar funcionalidades legítimas — trate como mitigação de última instância, não substituto do patch.

O mito a evitar: como o vetor exige acesso local, algumas equipes desconsideram a correção assumindo que 'não é remoto, não é crítico'. Isso ignora que a falha está no KEV justamente por ser usada como etapa de escalada após comprometimento inicial — é peça-chave em cadeias de ataque que começam com phishing ou exploração remota de outro serviço e terminam em controle total da máquina.

Não há assinatura de rede a procurar, já que a exploração é inteiramente local. Em ambientes monitorados com Sysmon ou equivalente, sinais úteis incluem criação de hard links (Event ID de FileCreate/LinkCreate quando disponível) por contas de usuário não administrativas apontando para caminhos sob diretórios usados pelo Windows Error Reporting, seguida de atividade do processo WerFault.exe/WerMgr.exe tocando arquivos fora do padrão esperado, ou sobrescrita inesperada de arquivos de sistema logo após um crash de aplicação.

Na ausência de patch aplicado e sem instrumentação específica, não há um indicador confiável e único: trate a falta de visibilidade sobre hard links como lacuna, não como ausência de risco.