McAfee Total Protection (MTP) privilege escalation vulnerability

Falha de gerenciamento indevido de privilégios (CWE-284) no McAfee Total Protection anterior à versão 16.0.30, que permite a um usuário local com privilégios baixos escalar privilégios e executar código arbitrário contornando o mecanismo de self-defense do produto. Está no catálogo KEV da CISA com exploração confirmada, mas o vetor exige acesso local prévio e interação do usuário — não é uma falha remota nem pré-autenticação.

O CVSS 3.1 (AV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H) descreve o cenário: atacante precisa de acesso local à máquina (AV:L), já com algum nível de privilégio (PR:L), e depende de uma ação do usuário (UI:R) para disparar a cadeia. O Scope Changed (S:C) indica que o componente explorado é distinto do componente que sofre o impacto — coerente com uma falha que abusa de um processo ou serviço do MTP para afetar o sistema além do escopo do próprio antivírus.

A descrição oficial do fornecedor classifica isso como 'Arbitrary Process Execution' que contorna o self-defense do MTP — o mecanismo que normalmente impede que processos não autorizados manipulem, encerrem ou injetem código nos componentes de proteção do produto. O CWE associado no catálogo KEV é CWE-284 (Improper Privilege Management), sugerindo que algum processo, serviço ou tarefa agendada do MTP roda com privilégios elevados sem validar adequadamente a origem ou integridade do processo/arquivo que invoca, permitindo que um usuário local abuse dessa lacuna para escalar de um contexto de baixo privilégio para execução com privilégios do próprio produto de segurança (tipicamente SYSTEM ou equivalente).

Não há, nas fontes públicas disponibilizadas pelo fornecedor e pela CISA, detalhamento técnico mais granular — nome do binário, serviço ou caminho de arquivo explorado, nem prova de conceito publicada. A ausência desse detalhe é relevante: qualquer descrição de 'como exatamente' o bypass ocorre além do que está aqui seria especulação, não fato apurado.

O pré-requisito central é acesso local à máquina com o MTP instalado — não é uma vulnerabilidade explorável remotamente pela rede. Além disso, o vetor exige privilégios baixos já existentes (PR:L) e interação do usuário (UI:R), o que reduz drasticamente a superfície de risco: um atacante precisa primeiro obter algum ponto de apoio no host (via phishing, credencial comprometida, outra vulnerabilidade, ou acesso físico) antes de usar esta falha como etapa de escalação de privilégios.

A exploração bem-sucedida entrega ao atacante execução de código arbitrário com privilégios elevados, ignorando as proteções de self-defense do próprio antivírus — ou seja, o software de segurança instalado passa a ser o vetor usado contra a máquina que deveria proteger. Isso é particularmente valioso em cadeias de ataque pós-comprometimento, onde o objetivo é desativar ou contornar defesas endpoint antes de mover lateralmente ou implantar payloads persistentes.

A CISA incluiu a CVE no catálogo KEV (adicionada em 03/11/2021, prazo de correção 17/11/2021), confirmando exploração ativa observada, mas o campo 'Known To Be Used in Ransomware Campaigns' está marcado como 'Unknown' — não há confirmação pública de uso específico em campanhas de ransomware documentadas. Não há detalhes técnicos publicados sobre o exploit usado in-the-wild nas fontes consultadas.

O fornecedor recomenda atualizar para a versão 16.0.30 ou posterior do McAfee Total Protection, que corrige a falha de gerenciamento de privilégios. A CISA, no catálogo KEV, também instrui apenas 'aplicar atualizações conforme instruções do fornecedor' — não há paliativo alternativo documentado (flag de configuração, desativação de componente) nas fontes disponíveis.

Como a exploração depende de acesso local prévio, controles compensatórios genéricos ajudam a reduzir a probabilidade de a cadeia de ataque chegar a este ponto: restringir contas com privilégios locais desnecessários, aplicar least privilege em endpoints, e monitorar criação de processos anômalos relacionados a componentes do MTP. Isso não corrige a vulnerabilidade — apenas reduz a chance de um atacante ter a oportunidade de explorá-la.

Não existe mitigação equivalente à atualização. Manter versões anteriores à 16.0.30 em produção, mesmo com controles de acesso reforçados, deixa o self-defense do produto de segurança contornável por qualquer usuário local que já tenha obtido algum nível de acesso.

Não há assinatura, IOC ou padrão de log público divulgado pelo fornecedor ou pela CISA para identificar tentativas de exploração desta CVE especificamente. Na ausência de detalhamento técnico do exploit, a recomendação prática é monitorar comportamento anômalo de processos associados aos componentes do MTP (execução inesperada, criação de processos filhos não usuais, tentativas de manipulação de serviços/tarefas do produto por processos de usuário comum) e correlacionar com escalonamento de privilégio local subsequente — mas isso é heurística geral, não detecção específica confirmada para esta falha.