CVE-2020-0683

Falha de elevação de privilégio no Windows Installer: ao processar links simbólicos durante instalação, repetição ou reparo de pacotes MSI, o serviço — que roda como SYSTEM — pode ser induzido a operar sobre arquivos fora do diretório pretendido. Um usuário local com baixo privilégio explora isso para ganhar privilégios de SYSTEM. Está no catálogo KEV da CISA como exploração confirmada em campo, o que a torna prioritária mesmo com CVSS 'apenas' 7.8 e vetor puramente local.

A vulnerabilidade é uma variante do padrão CWE-59 (resolução incorreta de link antes de acesso a arquivo), comum em componentes do Windows Installer que historicamente têm processado links simbólicos e junctions de forma insegura durante operações privilegiadas. O msiexec.exe e o Windows Installer service executam parte das operações de arquivo (cópia, remoção, rollback) com token de SYSTEM enquanto processam entradas de um pacote MSI que, em cenários de reparo/instalação, pode referenciar caminhos manipuláveis pelo usuário que disparou a ação.

A descrição oficial da Microsoft é deliberadamente curta — uma linha — e não detalha qual chamada de API ou qual etapa do processamento do MSI (Custom Action, rollback script, ou resolução de caminho de arquivo) falha em validar se o destino é um link simbólico apontando para fora da árvore esperada. Isso é uma lacuna real de documentação do fornecedor, não uma omissão nossa: não há advisory técnico detalhado nem write-up de pesquisador correlacionado nas fontes disponíveis para esta página que explique o ponto exato no código.

O que se sabe com confiança, a partir do próprio CVSS (AV:L/AC:L/PR:L/UI:N) e da nota da CISA no KEV ('bypass access restrictions to add or remove files'), é que o atacante precisa de acesso local já autenticado (privilégio baixo) e consegue, via manipulação de links simbólicos, fazer o serviço adicionar ou remover arquivos em locais que deveriam estar fora do alcance da conta comum — o clássico ganho de escrita/exclusão arbitrária em contexto SYSTEM que vira execução de código ou substituição de binário privilegiado.

Pré-requisito central: o atacante já precisa ter uma sessão local autenticada com privilégio baixo (PR:L) na máquina Windows — não é uma falha explorável remotamente nem por um usuário anônimo. Não há interação de usuário adicional exigida (UI:N) além da própria ação do atacante disparando o fluxo de instalação/reparo MSI.

O mecanismo geral, coerente com a classe de vulnerabilidade (CWE-59) e com a nota da CISA, é criar ou redirecionar um link simbólico/junction para um caminho sensível antes ou durante uma operação do Windows Installer que roda com privilégios elevados; quando o serviço segue o link sem revalidar o destino, ele acaba escrevendo, sobrescrevendo ou removendo um arquivo fora da área que deveria estar restrita ao pacote MSI. Isso permite plantar ou substituir arquivos em locais protegidos, abrindo caminho para execução de código como SYSTEM.

A CISA confirma exploração ativa (entrada no catálogo KEV, adicionada em 2021-11-03) e as fontes indicam existência de PoC pública, mas não há evidência, nas fontes lidas, de uso em campanhas de ransomware ('Known To Be Used in Ransomware Campaigns: Unknown'). Trata-se, na prática, de uma vulnerabilidade de pós-exploração/escalonamento local — valiosa para quem já obteve um ponto de apoio inicial na máquina (via phishing, outra falha, ou acesso físico/RDP com conta de baixo privilégio) e precisa virar administrador/SYSTEM.

A correção é aplicar a atualização de segurança da Microsoft referente a esta CVE. A data de publicação (11/02/2020) coincide com o Patch Tuesday de fevereiro de 2020, o que indica que o patch foi distribuído nesse ciclo; as fontes consultadas para esta página não trazem os números de KB/build específicos por versão do Windows, então o número exato de atualização cumulativa deve ser confirmado no advisory do MSRC ou no histórico de atualizações do Windows Update/WSUS para cada build (1903, 1909, Windows Server) antes de declarar o ambiente corrigido.

Como a CISA já classifica esta CVE como explorada ativamente e a due date do KEV (03/05/2022) já expirou há tempo, qualquer sistema com os builds afetados sem patch de fevereiro de 2020 ou posterior deve ser tratado como prioridade alta de patch, especialmente em ambientes multiusuário onde contas de baixo privilégio têm acesso local (terminal server, estações compartilhadas, ambientes de laboratório).

Não há mitigação de configuração equivalente à atualização: restringir quem pode instalar/reparar MSIs (política de grupo para Windows Installer) reduz a superfície mas não elimina a falha em quem já tem esse privilégio mínimo, e não substitui o patch. Monitoramento de EDR para criação de reparse points/links simbólicos por usuários não administrativos é controle compensatório, não correção.

Não há assinatura pública confirmada e específica para esta CVE nas fontes disponíveis. Como indicador geral da classe de falha, vale monitorar criação de links simbólicos ou junctions (reparse points) por contas não administrativas imediatamente antes de operações do msiexec.exe (instalação, reparo ou desinstalação), e execuções do Windows Installer service processando pacotes MSI fora de fluxos administrativos esperados (fora de SCCM/Intune/instaladores corporativos conhecidos). Na ausência de detecção específica, o registro de eventos de criação de reparse point em diretórios sensíveis do sistema, correlacionado com atividade do msiexec.exe por usuário de baixo privilégio, é o sinal mais próximo disponível — mas não é uma assinatura validada para este CVE específico.