Windows Kernel Elevation of Privilege Vulnerability

Falha de elevação de privilégio no kernel do Windows causada por uma condição de corrida do tipo TOCTOU (time-of-check to time-of-use), catalogada como CWE-367. Um atacante com acesso local e privilégios baixos pode escalar para privilégios de sistema explorando a janela entre a verificação de um recurso e seu uso efetivo. A CISA confirma exploração ativa em campo e incluiu a falha no catálogo KEV, o que eleva a prioridade de correção independentemente do CVSS de 7.0 — nota que já reflete a alta complexidade de ataque (AC:H) típica de race conditions.

A vulnerabilidade é uma condição de corrida TOCTOU no kernel do Windows (CWE-367): existe uma janela de tempo entre o momento em que o kernel verifica o estado ou as permissões de um objeto e o momento em que efetivamente o utiliza. Se um atacante conseguir alterar esse objeto (ou o estado associado a ele) nesse intervalo, pode fazer o kernel operar sobre um recurso diferente do que foi validado, resultando em execução de código ou manipulação de estruturas internas com privilégios elevados.

A Microsoft não publicou detalhes de engenharia reversa sobre o componente exato do kernel afetado nem qual estrutura de dados está sujeita à corrida. O advisory oficial (MSRC) trata a falha como elevação de privilégio local, sem especificar o subsistema (por exemplo, gerenciador de objetos, I/O manager ou memória) — essa granularidade não está disponível nas fontes públicas consultadas.

O vetor CVSS (AV:L/AC:H/PR:L/UI:N) indica que o ataque exige acesso local à máquina, privilégios baixos já estabelecidos (PR:L) e complexidade de ataque alta (AC:H) — coerente com a natureza probabilística das race conditions, que geralmente exigem múltiplas tentativas ou técnicas de sincronização para vencer a janela de tempo. Não há necessidade de interação do usuário (UI:N). O impacto é total (C:H/I:H/A:H), típico de uma escalada até SYSTEM.

A exploração exige que o atacante já tenha uma sessão local no sistema com privilégios baixos — não é uma falha exploravel remotamente sem essa base. A partir daí, o atacante precisa disparar duas operações concorrentes que competem pelo mesmo recurso do kernel, timing essa corrida para que a operação de uso ocorra sobre um estado diferente do validado na checagem inicial. Isso normalmente demanda ferramentas de sincronização de threads e, por ser uma corrida, pode exigir repetição de tentativas até que a condição de sucesso seja atingida, o que explica a classificação AC:H no vetor CVSS.

A CISA confirma exploração ativa no mundo real (entrada no catálogo KEV, adicionada em 2024-10-15) e cita a existência de PoC pública, mas as fontes consultadas não descrevem o ator de ameaça, a campanha específica nem se a exploração está associada a ransomware — o próprio catálogo KEV marca 'Known to be used in Ransomware Campaigns' como não confirmado para esta CVE.

O resultado final da exploração bem-sucedida é execução com privilégios de kernel/SYSTEM, permitindo ao atacante que já tinha acesso local de baixo privilégio assumir controle total da máquina — passo comum em cadeias de ataque pós-comprometimento (após phishing, malware inicial ou acesso via credencial roubada) para consolidar persistência ou desativar controles de segurança.

A CISA recomenda aplicar as mitigações do fornecedor conforme as instruções do boletim de segurança correspondente, com prazo definido de 2024-11-05 para agências federais dos EUA sob a diretiva BOD 22-01 — prazo que serve como referência de urgência para qualquer organização. A correção definitiva é a aplicação da atualização de segurança da Microsoft referente a esta CVE, disponibilizada no Patch Tuesday de junho de 2024; consulte o MSRC Update Guide (link nas fontes) para o KB específico de cada versão do Windows listada, já que os números de build não constam nas fontes consultadas para esta página e não devem ser presumidos.

Se a atualização não puder ser aplicada imediatamente, não há um workaround de configuração documentado pela Microsoft para esta CVE nas fontes consultadas — o controle compensatório real é reduzir a superfície de acesso local: restringir quem pode fazer logon interativo ou executar código arbitrário na máquina (já que a falha exige acesso local prévio), e reforçar monitoramento de EDR para escalonamento pós-exploração.

Não existe mitigação de rede (firewall, WAF) eficaz aqui, pois a falha não é explorável remotamente sem acesso local prévio — soluções de perímetro não reduzem o risco desta CVE especificamente.

As fontes públicas consultadas (MSRC e CISA KEV) não descrevem indicadores de comprometimento, assinaturas de exploração ou padrões de log específicos para esta CVE. Por se tratar de uma race condition explorada localmente dentro do kernel, não há assinatura de rede a monitorar; a detecção prática depende de telemetria de EDR capaz de identificar escalonamento de privilégio anômalo (processo de baixo privilégio obtendo token SYSTEM) e de crash dumps do kernel que possam indicar tentativas falhas de exploração — mas nenhuma dessas fontes confirma um padrão conhecido associado especificamente a esta CVE.