Windows User Profile Service Elevation of Privilege Vulnerability

Falha de escalonamento de privilégios local no Windows User Profile Service (ProfSvc), o componente responsável por criar, carregar e descarregar perfis de usuário no logon/logoff. Um atacante com acesso local e credenciais de baixo privilégio pode explorar uma condição de corrida (CWE-362) durante operações do serviço para obter execução com privilégios de SYSTEM. A CISA confirma exploração ativa e a CVE está no catálogo KEV; existe módulo público no Metasploit, o que baixa bastante a barreira para uso em pós-exploração de red team e por atacantes reais.

A vulnerabilidade é classificada pela CISA como CWE-362 (race condition / TOCTOU — time-of-check to time-of-use). O ProfSvc manipula diretórios e arquivos do perfil do usuário (criação, cópia, exclusão) em operações que envolvem múltiplas etapas não atômicas. Entre a verificação de um caminho/objeto e a operação real sobre ele, existe uma janela em que um processo com baixo privilégio pode substituir o objeto — tipicamente via link simbólico, junction ou hard link apontando para um local arbitrário do sistema de arquivos que o SYSTEM depois manipula com privilégios elevados.

O vetor CVSS (AV:L/AC:H/PR:L/UI:N) confirma o padrão: ataque local, sem interação do usuário, mas com complexidade de ataque alta — coerente com a necessidade de ganhar uma corrida de timing, o que exige repetição e sincronização precisa entre a thread do atacante e a operação do serviço.

Esta CVE não é uma falha isolada: o ProfSvc já teve pelo menos duas vulnerabilidades correlatas exploradas anteriormente (a mesma classe de problema de race condition envolvendo links de sistema de arquivos), e patches anteriores da Microsoft para esse componente foram contornados por pesquisadores que encontraram variações da mesma janela de corrida. O padrão E:F/RL:O/RC:C no vetor CVSS (exploit funcional existente, correção oficial disponível, relato confirmado) reflete justamente esse histórico de bypass.

O impacto declarado é total: C:H/I:H/A:H — comprometimento completo de confidencialidade, integridade e disponibilidade, consistente com escalonamento para SYSTEM.

Pré-requisito real: acesso local ao sistema com uma conta de baixo privilégio (PR:L) — não é exploração remota, não há vetor de rede. O atacante precisa já ter pé no host, seja via sessão RDP, execução de código com privilégios reduzidos, ou acesso físico/console.

O mecanismo de exploração consiste em provocar uma operação do ProfSvc que manipule arquivos/diretórios do perfil (por exemplo, durante criação ou remoção de perfil) e, na janela entre a verificação e o uso do objeto, substituir o alvo por um link controlado pelo atacante, redirecionando a operação privilegiada do serviço para um caminho arbitrário do sistema. Por depender de timing, a exploração é probabilística — o atacante costuma repetir a tentativa até vencer a corrida, o que explica o AC:H no vetor CVSS. Ao final bem-sucedido, o processo do ProfSvc (executando como SYSTEM) sobrescreve, cria ou concede permissões em um local escolhido pelo atacante, abrindo caminho para execução de código como SYSTEM.

A CISA confirma exploração ativa in the wild (motivo da inclusão no KEV, com prazo de correção definido para 16/05/2022) e a existência de módulo público no Metasploit torna a técnica acessível para qualquer operador com conhecimento básico do framework, elevando o risco em ambientes com múltiplos usuários locais ou terminais compartilhados, mesmo sem exploração remota direta.

Aplicar a atualização de segurança da Microsoft referente a esta CVE (ciclo de Patch Tuesday de abril de 2022) é a única mitigação efetiva confirmada. Não há na documentação disponível uma lista detalhada, por build/KB, das versões corrigidas de cada ramo do Windows — o fornecedor trata isso via Windows Update / WSUS por versão de produto, então a ação prática é garantir que o sistema esteja com as atualizações cumulativas mais recentes para a versão específica em uso.

Como esta classe de falha (race condition em ProfSvc) já teve variantes contornando patches anteriores, atualizar para a correção desta CVE especificamente não garante imunidade a variantes futuras da mesma linha de bugs — manter o sistema atualizado continuamente é mais relevante do que aplicar um único boletim isolado.

Controles compensatórios reais quando o patch não pode ser aplicado imediatamente: restringir contas de baixo privilégio em hosts críticos, monitorar criação anômala de links simbólicos/junctions por processos não administrativos, e aplicar princípio de menor privilégio para reduzir a superfície de contas capazes de disparar operações de perfil. Isso não elimina a vulnerabilidade, apenas reduz a população de atacantes potenciais (quem já tem PR:L). Não existe mitigação via configuração de rede ou firewall, já que o vetor é estritamente local (AV:L).

Não há assinatura de rede a procurar, já que a exploração é local. Em nível de host, sinais possíveis incluem: criação inesperada de links simbólicos, junctions ou hard links por processos executando com privilégio de usuário padrão pouco antes de eventos de logon/logoff ou de criação/remoção de perfil; falhas ou reinícios anômalos do processo do ProfSvc (svchost.exe hospedando o serviço) correlacionados com atividade de usuário não administrativo; e a criação de novos processos com token SYSTEM originados a partir de contas sem privilégio administrativo aparente, sem cadeia de elevação legítima (UAC, serviço administrativo). Como o mecanismo de exploração é uma corrida de timing sem payload de rede, a ausência de sinal de rede não indica ausência de tentativa — a telemetria de host (EDR com monitoramento de criação de objetos do sistema de arquivos e de tokens de processo) é a fonte mais confiável.