Windows Error Reporting Service Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no Windows Error Reporting Service (WerFault/WER), classificada como CWE-59 (resolução incorreta de link antes de acesso a arquivo — 'link following'). Um atacante com acesso local e privilégios baixos pode escalar para SYSTEM ou obter controle total (C/I/A altos) explorando como o serviço resolve caminhos ou links simbólicos/junctions. Está no catálogo KEV da CISA com exploração confirmada in-the-wild, o que eleva a prioridade de patch mesmo com CVSS 7.8 — score que já reflete AV:L e PR:L, ou seja, não é remotamente explorável e exige que o atacante já tenha uma sessão no sistema.

A Microsoft classificou a falha sob CWE-59 (Improper Link Resolution Before File Access, 'Link Following'). Esse padrão de bug ocorre quando um processo com privilégios elevados segue um link simbólico, junction de diretório ou hard link controlado por um usuário de menor privilégio, e acaba lendo, escrevendo ou executando em um caminho diferente do pretendido. No caso do Windows Error Reporting Service, o processo WerFault.exe (ou o serviço WerSvcHost) roda com privilégios altos para coletar dumps de crash e telemetria, e a falha permite que esse processo seja manipulado para operar em um caminho de arquivo sob controle do atacante.

A descrição oficial da Microsoft é deliberadamente genérica ('unspecified vulnerability that allows for privilege escalation'), sem detalhar o componente exato do WER, o fluxo de código ou o tipo de link abusado (symlink, junction, hardlink ou reparse point). Não há confirmação pública, nas fontes disponíveis, de qual API ou diretório específico do WER é o ponto de junção vulnerável.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) indica que o atacante precisa de acesso local ao sistema com privilégios baixos (PR:L) — ou seja, uma conta de usuário padrão já autenticada — e que a exploração não exige interação do usuário nem configuração de ataque complexa (AC:L). O impacto é total: confidencialidade, integridade e disponibilidade altos, consistente com escalonamento para SYSTEM.

O pré-requisito real é acesso local autenticado com privilégios baixos — não é uma falha exploravel remotamente nem por um usuário anônimo pela rede. Isso limita o cenário a máquinas onde o atacante já obteve um shell de usuário comum (via phishing, outra vulnerabilidade, credenciais roubadas, acesso físico ou RDP com conta de baixo privilégio) e busca escalar para SYSTEM/administrador como próximo passo de um ataque em andamento.

A técnica geral de link-following abusa da janela entre a checagem de um caminho e seu uso pelo processo privilegiado (ou da resolução incorreta de junctions/reparse points), redirecionando uma operação de arquivo do serviço WER para um local escolhido pelo atacante — por exemplo, para sobrescrever ou plantar um arquivo em um diretório protegido, que depois é executado com privilégios de SYSTEM. Existem PoC pública e módulo Metasploit catalogados, e a CISA confirma exploração ativa in-the-wild (por isso a inclusão no KEV com prazo de correção em 2023-08-01), embora a CISA não caracterize a falha como usada em campanhas de ransomware conhecidas ('Known To Be Used in Ransomware Campaigns: Unknown').

Em termos de complexidade prática, esse tipo de bug de link following costuma exigir apenas a criação de um link/junction em um diretório com permissão de escrita e o gatilho de um crash ou evento que force o WER a processar esse caminho — não exige exploração de memória nem ROP chains, o que explica a baixa complexidade de ataque (AC:L) e o alto EPSS relativo (0.426) para uma falha local.

A ação recomendada pela CISA é 'aplicar atualizações conforme instruções do fornecedor ou descontinuar o uso do produto se não houver atualização disponível'. As instruções específicas de KB/build por versão de Windows estão no advisory da Microsoft (MSRC), mas essa informação de número de KB e build corrigido não está disponível nas fontes consultadas para esta página — consulte diretamente o MSRC Update Guide para a atualização correspondente à sua versão (Windows 10 1507/1607/1809/21H2/22H2, Windows 11 21H2/22H2, Windows Server 2008 R2 SP1).

Como controle compensatório quando o patch não pode ser aplicado imediatamente: reduzir a superfície de contas de baixo privilégio com acesso interativo local (RDP, login físico) nos hosts afetados, monitorar criação de links simbólicos/junctions por usuários não administrativos em diretórios sensíveis relacionados ao WER (ex.: locais de dump de crash), e aplicar princípio de menor privilégio para limitar quem pode disparar ou manipular processos WerFault. Nenhuma dessas medidas elimina a vulnerabilidade — apenas reduz a chance de exploração até o patch ser aplicado.

Não existe mitigação via desativação simples do serviço WER documentada nas fontes consultadas, e desabilitar esse serviço tem custo operacional (perda de telemetria de crash usada em diagnóstico), então essa decisão deve ser avaliada caso a caso e não deve ser tratada como substituto do patch.

Como é falha local de link following (CWE-59), o sinal mais relevante é a criação incomum de links simbólicos, junctions de diretório ou reparse points por contas de usuário sem privilégio administrativo em diretórios usados pelo Windows Error Reporting (locais de dump/relatório de falhas), seguida por eventos de crash ou execução do WerFault.exe pouco depois — especialmente se o processo WerFault subsequente gravar ou executar em caminho fora do esperado. Monitoramento via ETW/Sysmon de criação de objetos de reparse point e de processos filhos gerados por WerFault.exe com privilégios elevados agindo sobre arquivos fora de %ProgramData%\Microsoft\Windows\WER é o indicador prático, mas não há assinatura pública oficial (regra YARA/Sigma) confirmada nas fontes consultadas — a existência de PoC pública e módulo Metasploit sugere que múltiplas variantes de exploração podem gerar padrões de log distintos, então não há um sinal único e confiável documentado.