Windows Search Remote Code Execution Vulnerability

Falha que permite bypass do Mark of the Web (MOTW) e execução remota de código por meio de documentos do Office maliciosos que acionam o mecanismo do Windows Search. A Microsoft associou a exploração ativa dessa CVE ao grupo Storm-0978/RomCom, em campanha de phishing que usava como isca temas ligados à cúpula da OTAN de julho de 2023. Está no catálogo KEV da CISA com exploração confirmada antes mesmo da correção completa estar disponível.

O vetor prático não é o Windows Search isolado, mas sua integração com o Office: um documento do Word malicioso referencia remotamente um protocolo de busca do Windows (o mecanismo por trás do handler search/search-ms), fazendo com que o sistema exiba uma janela de 'resultados de pesquisa' cujo conteúdo é controlado por um servidor do atacante, hospedado fora da máquina da vítima. Esses resultados podem incluir atalhos ou executáveis disfarçados; ao interagir com eles, a vítima executa código do atacante.

O problema de fundo é que o conteúdo remoto entregue por esse caminho escapa da marcação MOTW (Mark of the Web), que normalmente faz o Windows/Office tratar arquivos baixados da internet com mais restrição (bloqueio de macro, Protected View). Sem o MOTW aplicado corretamente ao objeto entregue via Windows Search, o Office trata o conteúdo como se fosse local e confiável, reduzindo as barreiras que impediriam a execução.

O catálogo KEV da CISA classifica a falha sob CWE-362 (condição de corrida), o que sugere que o mecanismo interno envolve uma janela de tempo entre a validação/marcação do conteúdo e seu uso efetivo — mas a Microsoft não publicou detalhes de código-fonte ou do fluxo interno exato, e o texto do advisory oficial é genérico ('Windows Search Remote Code Execution Vulnerability'), sem detalhar a mecânica.

O CVSS (AC:H, UI:R) reflete que o atacante precisa de infraestrutura própria (servidor hospedando o conteúdo malicioso) e depende de interação da vítima — abrir o documento e, em geral, interagir com o resultado apresentado. Não é uma falha de execução automática sem clique.

O vetor documentado publicamente e usado em ataques reais é phishing com documento do Office anexado ou baixado. A vítima abre um arquivo (nos relatos associados a essa campanha, um documento com tema geopolítico/institucional) que, ao ser processado, invoca o protocolo de busca do Windows apontando para um recurso remoto controlado pelo atacante. O Windows exibe uma interface de resultados de pesquisa que na prática é conteúdo do atacante; a cadeia de infecção segue quando a vítima interage com esse resultado (abre um atalho, executa um arquivo listado), entregando o payload final — nos ataques atribuídos ao Storm-0978/RomCom, um backdoor.

Pré-requisitos reais: a vítima precisa abrir o arquivo malicioso e, em geral, dar um passo adicional de interação (clique no resultado de busca apresentado); o atacante precisa manter um servidor acessível pela vítima hospedando o conteúdo referenciado pelo documento. Não há elevação de privilégio prévia nem autenticação de rede envolvida — o vetor de entrada é puramente pelo lado do cliente, via engenharia social.

A exploração in-the-wild foi confirmada pela própria Microsoft, que ligou o CVE à campanha de Storm-0978 antes da correção completa estar disponível para todas as versões — daí a inclusão imediata no KEV da CISA, com prazo de mitigação até 29/08/2023.

A correção definitiva veio por atualização de segurança da Microsoft distribuída pelo Windows Update, cobrindo as versões listadas no advisory (Windows 10 nas branches 1507, 1607, 1809, 21H2, 22H2; Windows 11 21H2 e 22H2; Windows Server 2008 R2 SP1). O advisory oficial da Microsoft (MSRC) é a fonte de verdade para o KB específico de cada branch — como o texto do advisory consultado não detalha os números de KB por versão, não reproduzimos aqui números que não conseguimos confirmar; verifique o Update Guide da Microsoft para o build exato antes de considerar o ambiente corrigido.

Enquanto o patch completo não estava disponível para todas as versões, a Microsoft publicou uma mitigação paliativa (defense-in-depth) baseada em bloquear o comportamento do handler de protocolo de busca via chave de registro de Feature Control, impedindo que aplicações do Office naveguem automaticamente para esse protocolo a partir de conteúdo remoto. Esse paliativo reduz a superfície de exploração mas não corrige a causa raiz — assim que o patch oficial estiver disponível, ele deve substituir a mitigação de registro.

O que não funciona como mitigação: apenas orientar usuários a 'não abrir anexos suspeitos' não neutraliza a falha, já que o problema é o bypass do MOTW e não uma macro clássica — soluções de bloqueio de macro por si só não impedem a cadeia de exploração. Da mesma forma, atualizar apenas o Office sem aplicar a atualização do Windows correspondente (ou vice-versa) deixa o ambiente parcialmente exposto, já que o mecanismo envolve a integração entre os dois componentes.

Monitore processos do Office (winword.exe e afins) gerando conexões de rede de saída para hosts externos imediatamente após a abertura de um documento, especialmente antes de qualquer interação visível do usuário com macros — padrão associado a essa cadeia de exploração. Monitore também o acionamento do handler de protocolo de busca do Windows (search:// / search-ms://) originado por processos do Office, e a criação de processos filhos incomuns a partir do host de busca do Windows. Indicadores de comprometimento específicos (hashes, domínios, nomes de arquivo) associados à campanha Storm-0978/RomCom foram publicados pela Microsoft Threat Intelligence junto ao advisory; não há, porém, uma assinatura de rede única e confiável, já que a infraestrutura do atacante varia por campanha.