Microsoft Defender Denial of Service Vulnerability

Vulnerabilidade de negação de serviço na Antimalware Platform do Microsoft Defender, explorável localmente sem privilégios e sem interação do usuário. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, mas o CVSS 4.0 (4.0) reflete corretamente o impacto limitado: o vetor exige acesso local (AV:L) e o dano é apenas disponibilidade em nível baixo (A:L), sem comprometer confidencialidade ou integridade. Importa principalmente para quem depende do Defender como única camada de proteção em endpoints críticos, já que a falha permite degradar ou travar o mecanismo de varredura.

A Microsoft classificou a falha como 'unspecified' tanto no advisory quanto na entrada do KEV — não há CWE, componente interno ou rotina de código divulgados publicamente pelo fornecedor até o momento desta pesquisa. O vetor CVSS (AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L) indica que o ataque exige acesso local à máquina, não requer privilégios elevados nem interação do usuário, e o impacto se limita à disponibilidade — sem escalonamento de privilégio, exfiltração ou execução de código associados.

O padrão em falhas de DoS na plataforma antimalware do Defender historicamente envolve arquivos ou streams malformados que a engine de varredura processa incorretamente (parsing de formatos de arquivo, exaustão de recursos durante a análise, ou exceções não tratadas no motor de detecção), levando o serviço a travar, reiniciar ou consumir recursos excessivos. Não há confirmação pública de qual desses mecanismos se aplica aqui — essa é uma lacuna real na divulgação, não uma omissão nossa.

A classificação E:U (exploit code maturity unknown) e RC:C (report confidence confirmed) no vetor temporal sugere que o fornecedor confirma a falha, mas não há consenso público sobre a maturidade do código de exploração, mesmo com PoC circulando.

Por exigir AV:L, o atacante precisa já ter acesso local ao sistema onde o Defender está instalado — via sessão de usuário comum, processo em execução na máquina, ou arquivo entregue por outro vetor (e-mail, download, mídia removível) que force o mecanismo de varredura a processar o conteúdo malicioso. Não há indicação de que a exploração funcione remotamente sem essa etapa prévia de acesso ou entrega de arquivo.

A CISA lista a vulnerabilidade no catálogo KEV com exploração confirmada em campo, mas o campo 'Known To Be Used in Ransomware Campaigns' está marcado como 'Unknown' — não há evidência pública de uso em campanhas de ransomware. Isso é consistente com o perfil da falha: DoS local tem valor limitado como carga útil principal de ataque, mas pode ser usado para desativar ou degradar a proteção antimalware antes de uma segunda etapa de ataque (evasão de defesa), o que explicaria o interesse ativo de exploração mesmo com CVSS baixo.

A existência de PoC pública reduz a barreira técnica para replicar o comportamento, mas sem detalhes do mecanismo exato divulgados pela Microsoft, não é possível precisar a complexidade real de armar um ataque contra ambientes específicos.

A CISA determinou prazo até 2026-06-03 para aplicação de mitigação por agências federais dos EUA sob a diretriz BOD 22-01, o que sinaliza urgência mesmo com CVSS moderado — típico de itens no KEV, onde exploração ativa pesa mais que a pontuação de severidade isolada. O advisory oficial da Microsoft (MSRC) deve ser consultado diretamente para a versão exata da Antimalware Platform que corrige a falha; essa informação não estava disponível nas fontes consultadas para esta página e não deve ser presumida.

Como o Defender Antimalware Platform normalmente recebe atualizações automáticas via Microsoft Update ou WSUS/Intune, o primeiro passo prático é confirmar que a versão da plataforma nos endpoints está no canal de atualização automática e não congelada em uma build antiga por política de gerenciamento de patches. Ambientes que gerenciam atualizações do Defender manualmente ou via imagens fixas devem verificar isso como prioridade, já que é o cenário mais provável de exposição prolongada.

Não há mitigação de configuração ou controle compensatório documentado publicamente para este CVE além da atualização de plataforma — não existe flag de registro, GPO ou exclusão de varredura confirmada como paliativo eficaz nas fontes disponíveis. Desativar o Defender sem substituto equivalente não é mitigação válida, apenas troca um risco de disponibilidade por ausência total de proteção.

Não há assinatura, IOC ou padrão de log público documentado para esta CVE nas fontes consultadas. Como se trata de DoS local no motor de varredura, sinais indiretos a observar incluem crashes ou reinícios inesperados do serviço MsMpEng.exe, entradas de erro no Event Viewer relacionadas ao Windows Defender Antivirus Service, e falhas repetidas de varredura em torno de arquivos específicos — mas nenhum desses sinais é atribuível com confiança a este CVE especificamente sem orientação adicional do fornecedor.