A Trend Micro publicou nesta semana o build 7190 do Apex Central, sua plataforma de gestão de segurança corporativa, para estancar três vulnerabilidades graves — uma delas classificada com pontuação CVSS 9,8, o que a coloca no nível “crítico”. Descobertas pela equipe da Tenable, as falhas afetam todas as versões on-premises anteriores ao novo build e permitem que um invasor execute código remoto com privilégios de SYSTEM sem sequer fazer login no servidor.
O que é o Trend Micro Apex Central
O Apex Central funciona como o “painel de controle” que administra antivírus, EDR e outras camadas de proteção em milhares de endpoints Windows, Linux e macOS dentro das empresas. Se você gerencia parques de máquinas ou servidores de jogos em LAN houses, data centers ou escritórios, há boas chances de ter esse console rodando em alguma VM ou servidor físico.
Entenda a falha de 9,8 pontos
O problema principal envolve a API LoadLibraryEx () do Windows. Segundo o consultor Erik Avakian, da Info-Tech Research Group, um dos serviços em segundo plano do Apex Central aceita mensagens de qualquer dispositivo na rede e, sem validação, carrega uma DLL indicada pelo atacante. Resultado: código malicioso rodando como SYSTEM, o nível máximo de privilégio no Windows.
Em termos práticos, basta o invasor hospedar uma DLL maliciosa em um compartilhamento SMB ou servidor HTTP interno e apontar o Apex Central para ela. O próprio console baixa o arquivo, injeta na memória e executa, abrindo caminho para:
- Instalação ou remoção de softwares;
- Criação de contas administrativas fantasmas;
- Movimentação lateral para outros servidores de jogos, banco de dados ou AD;
- Desativação de serviços de segurança.
Duas falhas adicionais de negação de serviço
Além do RCE, a Trend Micro corrigiu:
- Unchecked NULL Return Value — exploração causa travamento do serviço;
- Out-of-Bounds Read — permite leitura indevida de memória e bloqueio do servidor.
As duas também dispensam autenticação, embora “apenas” derrubem o servidor (DoS). Na prática, um atacante pode primeiro derrubar o monitoramento e depois explorar a falha crítica.
Quais ambientes estão em risco?
Toda instalação on-premises abaixo do build 7190. A Trend Micro não informou se o bug existe na versão SaaS, mas, por precaução, vale confirmar o patch nível backend via painel.
Como corrigir imediatamente
1. Atualize já para o build 7190. O instalador está disponível no portal da Trend Micro.
2. Restrinja a porta de gerência (padrão 8443) no firewall interno ou roteador VPN.
3. Habilite assinatura de código nas políticas, impedindo DLLs não confiáveis.
4. Monitore tráfego SMB/HTTP local à procura de downloads suspeitos.
Imagem: Maxwell Cooter
Camadas extras que fazem diferença
Mesmo com o patch aplicado, vale considerar blindagens adicionais que se pagam no médio prazo:
- Firewall UTM doméstico/corporativo como o Ubiquiti UniFi Dream Machine (disponível na Amazon) — inspeção DPI e IDS com atualização automática;
- Tokens FIDO2 (por exemplo, Yubikey 5 Series) para MFA em consoles de administração;
- Switches gerenciáveis com VLAN, isolando a rede de gerenciamento da rede de produção;
- Backups offline em NAS com snapshots, caso o servidor seja comprometido.
Esses equipamentos não substituem os patches, mas reduzem drasticamente a superfície de ataque e podem ser integrados ao Apex Central para alertas automatizados.
Por que essa correção não pode esperar
A própria Trend Micro admite que a exploração requer apenas acesso de rede. Em um cenário de home office ou servidores expostos a parceiros externos, basta uma falha de VPN, um equipamento IoT vulnerável ou credenciais vazadas para que o atacante ganhe alcance suficiente e ultrapasse a última linha de defesa. Quem administra servidores de jogos, serviços de streaming ou aplicativos de e-commerce sabe: cada minuto de indisponibilidade ou violação pesa no bolso — sem falar na reputação.
Atualizar o Apex Central agora é a diferença entre manter o controle do seu parque de máquinas ou oferecer a chave do reino a qualquer cibercriminoso na rede.
Com informações de Computerworld/CSOonline
