Windows Kernel Information Disclosure Vulnerability

Falha de divulgação de informação no kernel do Windows que permite a um processo em modo usuário ler conteúdo de memória do kernel ao qual não deveria ter acesso. O CVSS de 5.5 parece modesto, mas a CVE está no catálogo KEV da CISA com exploração confirmada e EPSS alto (0.81) — na prática, funciona como peça de apoio em cadeias de exploração mais graves, não como falha isolada de alto impacto.

Classificada como CWE-497 (Exposure of Sensitive System Information to an Unauthorized Control Sphere), a falha reside no kernel do Windows e permite que um processo rodando em modo usuário, com privilégios baixos, obtenha leitura de regiões de memória do kernel que deveriam estar isoladas. O vetor CVSS (AV:L/AC:L/PR:L/UI:N/C:H/I:N/A:N) mostra que o impacto é restrito à confidencialidade — não há alteração de integridade nem de disponibilidade — e que a exploração é local, com baixa complexidade técnica, exigindo apenas privilégio de usuário autenticado e nenhuma interação adicional da vítima.

O advisory da Microsoft (MSRC) não detalha publicamente a rotina exata do kernel afetada nem o subsistema específico — não há, nas fontes disponíveis, informação sobre a função, driver ou syscall vulnerável. Isso é comum em disclosures de kernel: o fornecedor descreve o efeito (leitura indevida de memória) sem expor o caminho de código, para não facilitar réplicas do exploit.

O tipo de vazamento (leitura de memória do kernel a partir de espaço de usuário) é tipicamente usado para vencer proteções como KASLR (Kernel Address Space Layout Randomization), revelando endereços de estruturas do kernel que, combinados com uma falha de escrita ou de elevação de privilégio separada, permitem execução de código com privilégios de sistema.

A exploração exige que o atacante já tenha capacidade de executar código como usuário local no sistema-alvo — não é uma falha explorável remotamente sem esse pé inicial. Isso limita drasticamente o universo de cenários de risco: serviços expostos à internet sem controle de acesso local não são o vetor típico; o risco real está em ambientes multiusuário, estações comprometidas por outro meio (phishing, malware inicial) ou cadeias de exploração em navegador/aplicação que primeiro conseguem execução de código em modo usuário.

Segundo a descrição do catálogo KEV da CISA, a exploração bem-sucedida permite ao atacante ler o conteúdo de memória do kernel a partir de um processo em modo usuário. Esse tipo de primitivo raramente é usado isoladamente: serve como etapa de reconhecimento dentro de uma cadeia de ataque, revelando endereços ou dados que viabilizam uma segunda falha (geralmente de elevação de privilégio ou corrupção de memória) que entrega controle total do sistema.

A CISA confirma exploração ativa no mundo real (por isso a entrada no KEV) e há PoC pública disponível, o que eleva o risco de reprodução por terceiros mesmo sem sofisticação de nation-state. O EPSS de 0.81 reflete essa probabilidade elevada de tentativa de exploração observada em telemetria agregada.

A ação definida pela própria CISA no KEV é genérica: aplicar as atualizações conforme instruções do fornecedor. As fontes disponíveis não trazem o número de KB ou build específico do patch da Microsoft que corrige esta CVE — antes de considerar o ambiente corrigido, confirme no advisory oficial do MSRC (URL abaixo) qual atualização cumulativa do Patch Tuesday de junho de 2021 se aplica à versão exata do Windows em uso, já que a lista de produtos afetados cobre múltiplas versões do Windows 10 e do Windows Server com patches por vezes distintos entre si.

Não há, nas fontes consultadas, controle compensatório de configuração (feature flag, GPO, mitigação de exploit) documentado para quem não pode atualizar imediatamente. Como a exploração exige execução local prévia, reduzir a superfície de contas com acesso interativo e reforçar controles de EDR/antivírus para detectar a etapa inicial de comprometimento (antes do uso deste kernel leak) funciona como mitigação indireta, mas não substitui o patch.

O prazo definido pela CISA para agências federais dos EUA aplicarem a correção foi 2021-11-17, com a entrada adicionada ao catálogo KEV em 2021-11-03 — mais de cinco meses após a publicação original em junho/2021, o que por si só indica exploração continuada mesmo após a correção estar disponível.

As fontes disponíveis não trazem assinatura, IOC ou padrão de log específico associado à exploração desta CVE — a CISA descreve apenas o efeito da falha (leitura de memória do kernel por processo em modo usuário), sem indicadores de comprometimento publicados. Na ausência de assinatura conhecida, a detecção prática depende de monitoramento comportamental de EDR para chamadas anômalas do kernel ou processos em modo usuário tentando acessar estruturas de memória privilegiada, e de correlação com a etapa anterior da cadeia de ataque (o vetor que deu ao atacante execução local em primeiro lugar).