CVE-2019-0797

Falha de elevação de privilégio no componente Win32k do kernel do Windows, que permite a um processo já em execução com baixo privilégio escalar para execução de código em modo kernel. A CISA confirma exploração ativa (KEV), o que eleva sua prioridade de correção mesmo com CVSS moderado (7.8) — o vetor é local e exige que o atacante já tenha uma sessão no sistema.

A descrição oficial da Microsoft é deliberadamente vaga: 'o componente Win32k falha em tratar corretamente objetos na memória'. Essa é a formulação padrão que a Microsoft usa para uma classe recorrente de falhas em win32k.sys — corrupção de memória envolvendo objetos do kernel gráfico/janela (handles de janela, menus, cursores, callbacks) que, quando manipulados em sequência específica por um processo em modo usuário, levam a um estado inconsistente explorável no contexto do kernel.

As fontes disponíveis (advisory MSRC e catálogo KEV da CISA) não detalham o CWE exato, nem apontam se é use-after-free, type confusion ou double-free — apenas confirmam a categoria (corrupção de memória em objetos do kernel) e a consequência (execução em modo kernel). Não há, nas fontes lidas, análise técnica publicada de terceiros que dissecasse o bug com nomes de função ou fluxo de exploração.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N) confirma que a exploração é local, não exige interação do usuário e a complexidade de ataque é baixa uma vez que o atacante já tem privilégio baixo na máquina. Isso é típico de bugs de win32k: eles não são a porta de entrada, são a etapa de escalada depois de um acesso inicial (execução de código com privilégio de usuário padrão, ex.: via phishing, exploit de aplicação, ou acesso de baixo privilégio já concedido).

Pré-requisito real: o atacante precisa de capacidade de executar código arbitrário no sistema alvo, mesmo que com privilégios baixos (PR:L). Isso normalmente vem de outra etapa da cadeia de ataque — um exploit de aplicação, um documento malicioso que já obteve execução de código, ou uma sessão de usuário comum. CVE-2019-0797 não é explorável remotamente por si só; ela converte 'já tenho um shell/processo rodando' em 'agora tenho SYSTEM/kernel'.

A CISA lista a falha no catálogo KEV com a nota 'exploração conhecida in-the-wild', confirmando uso ofensivo real, historicamente associado a cadeias de escalada de privilégio local combinadas com exploits de outros componentes (o vínculo entre esta CVE e campanhas específicas de APT circulou publicamente na época, mas essa atribuição não está nas fontes catalogadas aqui e não deve ser tratada como confirmada por este texto).

O resultado da exploração bem-sucedida é execução de código em modo kernel — controle total do sistema, bypass de qualquer restrição de sandbox ou de privilégio de usuário que dependesse do isolamento do kernel.

A correção é aplicar a atualização de segurança da Microsoft referente a esta CVE, publicada no ciclo de abril de 2019 (Patch Tuesday). O advisory oficial da Microsoft (MSRC) lista as versões e KBs específicos por linha de produto (Windows 7/Server 2008 R2 até as versões então suportadas de Windows 10/Server); como as fontes lidas para esta página não trazem a tabela completa de builds/KB, não reproduzimos números aqui — confirme o KB exato no portal MSRC para a build específica em uso antes de considerar o sistema corrigido.

Não existe paliativo de configuração que neutralize uma falha de corrupção de memória no kernel gráfico — reduzir a superfície de win32k (ex.: com políticas de isolamento de sessão ou removendo acesso à interface gráfica em servidores headless/Server Core, onde aplicável) reduz o risco mas não é substituto do patch. Ferramentas de EDR que monitoram elevação de privilégio anômala ajudam a detectar exploração, não a impedir.

Dado que a falha está no catálogo KEV da CISA, sistemas Windows sem a atualização de abril de 2019 (ou posterior) devem ser tratados como prioridade de patch imediata, independente do CVSS moderado — a combinação de exploração confirmada com pré-requisito de acesso local já satisfeito em muitos ambientes (usuários padrão, contas de serviço) torna essa CVE relevante para escalada pós-comprometimento.

As fontes disponíveis não trazem assinaturas, IOCs ou indicadores de rede/log específicos para esta CVE. Como se trata de exploração local pós-comprometimento em modo kernel, o sinal mais relevante costuma ser comportamental: criação de processo com token elevado a partir de um processo que não deveria ter esse privilégio, crashes inesperados de win32k.sys/csrss.exe, ou alertas de EDR para técnicas de elevação de privilégio via kernel exploit — nenhum desses é específico a esta CVE isoladamente sem telemetria de kernel mais profunda.