CVE-2018-8120

Falha de elevação de privilégio local no Win32k do kernel do Windows, explorada por um NULL pointer dereference na função SetImeInfoEx (relacionada ao subsistema de IME - Input Method Editor). Afeta apenas Windows 7, Windows Server 2008 e Windows Server 2008 R2 — sistemas fora de suporte desde 2020/2023 mas ainda presentes em ambientes legados, industriais e segmentados. Está no catálogo KEV da CISA, tem PoC pública e módulo Metasploit, o que a torna um degrau clássico de pós-exploração: não compromete a máquina por si só, mas transforma acesso local com privilégio baixo em SYSTEM.

A vulnerabilidade está na forma como o componente Win32k (win32k.sys, executado em modo kernel) manipula objetos em memória ao processar chamadas relacionadas ao Input Method Editor, especificamente na rotina SetImeInfoEx. Um ponteiro que deveria ser validado antes do uso não é checado corretamente, e o kernel acaba desreferenciando um valor NULL — uma falha de classe NULL Pointer Dereference (CWE-476). A CISA classifica a entrada como CWE-404 (Improper Resource Shutdown or Release) em seu catálogo KEV, o que sugere uma leitura ligeiramente diferente do mecanismo por parte deles, mas a documentação técnica publicada por pesquisadores (incluindo a análise da ESET, que descobriu a falha, e o PoC do pesquisador 'unamer') descreve consistentemente o problema como desreferenciamento de ponteiro nulo em contexto de kernel.

O atacante não controla diretamente o conteúdo executado no ponto de falha — o NULL pointer dereference por si só normalmente causaria apenas um crash (BSOD) ou negação de serviço. A técnica de exploração usada nos PoCs públicos abusa desse estado inconsistente de memória do kernel para conseguir escrita arbitrária ou redirecionamento de fluxo de execução em modo kernel, permitindo rodar código com privilégios de SYSTEM a partir de um processo em modo usuário.

O vetor de ataque é inteiramente local: não há componente de rede, e o Win32k é acessível a qualquer processo em sessão interativa (inclusive sessões RDP) porque faz parte da API gráfica do Windows usada por todas as aplicações.

A exploração exige que o atacante já tenha execução de código local com privilégio baixo (PR:L no vetor CVSS) — ou seja, esta CVE não é o vetor de entrada inicial em uma intrusão, é o passo de escalonamento depois que o atacante já obteve algum tipo de shell ou sessão de usuário padrão (via phishing, credencial fraca, exploração de outra aplicação, etc.). Não há interação do usuário necessária (UI:N) e não depende de configuração fora do padrão — qualquer instalação padrão de Windows 7 / Server 2008 / 2008 R2 sem o patch é explorável por um usuário local autenticado.

O PoC público (repositório unamer/CVE-2018-8120 no GitHub, referenciado pelo módulo Metasploit) dispara o NULL pointer dereference via uma chamada manipulada envolvendo o subsistema de IME e escalona a partir daí para execução em kernel. O módulo Metasploit (ranking 'Good', autor bigric3/Dhiraj Mishra baseado na análise original) automatiza esse processo dentro de uma sessão Meterpreter já estabelecida: ele grava um binário auxiliar no diretório temporário do usuário, executa a cadeia de exploração e devolve um processo com token de SYSTEM. A complexidade de exploração é considerada moderada (AC:H no vetor CVSS) porque a estabilidade do primitivo de kernel depende da versão/arquitetura exata do sistema.

A presença no catálogo KEV da CISA confirma exploração ativa observada em campo, mas a entrada foi adicionada só em 2022 — quatro anos após a divulgação — o que é típico de vulnerabilidades reaproveitadas por operadores de malware/ransomware como módulo de escalonamento de privilégio em máquinas legadas ainda não corrigidas, e não necessariamente indica uma onda de exploração recente e massiva.

A correção definitiva é aplicar a atualização de segurança da Microsoft do Patch Tuesday de maio de 2018 para os sistemas afetados. Não foi possível confirmar nas fontes consultadas os números exatos de KB por versão (Windows 7, Server 2008, Server 2008 R2) — consulte o advisory oficial da Microsoft (MSRC) para o KB específico da sua build antes de aplicar.

Esses sistemas operacionais estão em fim de vida (Windows 7 e Server 2008/2008 R2 saíram do suporte regular em 2020, com ESU estendido já também encerrado ou próximo do fim). Se a atualização não puder ser aplicada por dependência de aplicação legada, o controle compensatório real é reduzir a superfície de acesso local: restringir contas com logon interativo/RDP na máquina, segmentar a rede para impedir movimento lateral até o host vulnerável, e monitorar/restringir a execução de binários não assinados a partir de diretórios temporários de usuário — já que a exploração pública depende de gravar e executar um binário auxiliar localmente.

Não funciona como mitigação: desabilitar apenas o IME (Input Method Editor) via configuração regional, pois a superfície de ataque está na rotina do kernel que trata esses objetos independentemente do idioma configurado no sistema, e não há confirmação de que isso neutraliza o caminho de exploração. Segmentação de rede e AV/EDR reduzem a chance de o atacante chegar à etapa de escalonamento, mas não eliminam a falha em si — apenas a atualização faz isso.

Não há assinatura de rede confiável, pois o vetor é inteiramente local/kernel — não há tráfego de exploração para inspecionar. Em nível de host, os artefatos observáveis vêm mais da ferramenta de exploração do que da falha em si: gravação e execução de binários com nomes aleatórios em diretórios temporários de usuário (padrão do módulo Metasploit, que gera nomes alfanuméricos aleatórios), criação de processo com token elevado a partir de um processo pai de baixo privilégio, e crashes ou eventos de erro relacionados a win32k.sys/csrss em logs de eventos do Windows (Event Log, crash dumps) que precedem uma elevação de privilégio inexplicada. Soluções de EDR/antivírus atualizadas desde 2018 tendem a ter assinaturas para o PoC público e para o módulo Metasploit, mas isso não cobre variantes customizadas da técnica.