Windows NTFS Elevation of Privilege Vulnerability

Falha de elevação de privilégio no driver NTFS.sys do Windows, explorável localmente por um processo com baixo privilégio para obter execução como SYSTEM. A Microsoft confirmou exploração ativa antes da correção, e a CISA incluiu a falha no catálogo KEV — o risco real é como segundo estágio de uma cadeia de ataque, não como vetor de acesso inicial.

A vulnerabilidade está no driver de sistema de arquivos NTFS (ntfs.sys). A CISA classifica a causa raiz sob CWE-191 (integer underflow/wraparound) que leva a CWE-787 (escrita fora dos limites de memória, out-of-bounds write). O padrão típico desse tipo de falha em drivers de kernel do Windows é um cálculo de tamanho ou offset que subestima ou 'wrap-a-round' um valor inteiro ao processar uma estrutura manipulada, resultando em uma escrita de heap além do buffer alocado dentro do espaço de endereço do kernel.

O atacante controla o conteúdo de uma estrutura ou arquivo processado pelo driver NTFS — a Microsoft descreve o gatilho genericamente como 'uma aplicação especialmente criada', sem detalhar a estrutura exata (arquivo, volume montado, ou chamada IOCTL específica) nos textos públicos oficiais. Como a exploração ocorre em contexto de kernel, uma corrupção de memória bem-sucedida dá controle total sobre a integridade e confidencialidade do sistema, e não apenas do processo do atacante.

O vetor de ataque é local (AV:L no CVSS) e exige privilégio baixo (PR:L) — ou seja, o atacante já precisa ter conseguido executar código no sistema, mesmo que como usuário sem privilégios administrativos. Não há componente de rede direto; a exploração depende de rodar um binário ou acionar um caminho de código do driver a partir de dentro da máquina.

Na prática, essa CVE não é usada para obter acesso inicial a um sistema — ela é o segundo estágio de uma cadeia de exploração. É preciso primeiro comprometer a máquina por outro meio (por exemplo, um exploit de navegador, um documento malicioso, ou engenharia social que resulte em execução de código com privilégios de usuário padrão) e só então acionar a falha do NTFS para escalar de usuário comum a SYSTEM.

A exploração ativa documentada ocorreu associada a uma cadeia de exploits que incluía um zero-day do Google Chrome/V8, usada para instalar malware com privilégios elevados após o comprometimento inicial via navegador. Isso está consistente com o motivo de estar no catálogo KEV da CISA (adicionado em novembro de 2021, com prazo de correção de 17/11/2021) e com a existência de PoC pública — o que reduz a barreira para reprodução por outros atores depois da divulgação da falha original.

O CVSS classifica a complexidade de ataque como baixa (AC:L) e não exige interação do usuário (UI:N) uma vez que o atacante já tenha execução de código local — ou seja, dado o pré-requisito de acesso local já satisfeito, o passo de escalada em si é considerado trivial de automatizar.

A correção definitiva é aplicar a atualização de segurança da Microsoft de junho de 2021, que corrige o driver NTFS afetado. O advisory oficial do MSRC lista os pacotes de atualização por versão de sistema operacional (Windows 10 nas versões 1507, 1607, 1809, 1909, 2004, 20H2, 21H1, e Windows 7); os números exatos de KB por versão devem ser confirmados diretamente no advisory do MSRC para o build específico em uso, pois não constam de forma discriminada nas fontes consultadas aqui.

Como a exploração depende de execução de código local prévia, controles que reduzam a superfície de comprometimento inicial (restrição de execução de anexos e downloads não confiáveis, EDR com detecção de exploração de kernel, princípio de menor privilégio para contas de usuário) funcionam como mitigação em profundidade, mas não substituem o patch — eles apenas dificultam alcançar o pré-requisito de execução de código, não corrigem a falha no driver em si.

Não há uma mitigação de configuração conhecida e documentada publicamente que desative a rota vulnerável no NTFS sem aplicar a atualização — não é uma falha exposta remotamente para a qual regra de firewall ou WAF tenha efeito.

Não há assinatura de rede a procurar, já que a exploração é local e ocorre dentro do kernel do sistema já comprometido. Em ambientes com telemetria de EDR/kernel, sinais a investigar incluem crashes ou comportamento anômalo do driver ntfs.sys, elevação inesperada de um processo de usuário padrão para SYSTEM, e a presença de outras etapas da cadeia de comprometimento (por exemplo, exploração prévia de navegador) que precederam a tentativa de escalada — a CISA e a Kaspersky associaram essa CVE a uma cadeia de ataque mais ampla, então a busca por indicadores dessa cadeia completa é mais produtiva do que procurar um IOC isolado desta CVE.