Windows Kernel-Mode Driver Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no driver em modo kernel do Windows, classificada como CWE-822 (dereferência de ponteiro não confiável). Um atacante que já tem acesso local com privilégios baixos consegue escalar para SYSTEM. Importa porque está no catálogo KEV da CISA — houve exploração confirmada in the wild — e existem PoC pública e módulo Metasploit, o que baixa a barreira para uso em pós-exploração e movimento lateral.

A vulnerabilidade é uma dereferência de ponteiro não confiável (CWE-822) em um driver de modo kernel do Windows. A Microsoft não detalhou publicamente qual driver ou rotina específica está envolvida — o advisory da MSRC usa a descrição genérica 'Windows Kernel-Mode Driver Elevation of Privilege Vulnerability', sem nomear o componente (.sys) afetado nem o mecanismo exato de exploração. Esse tipo de falha ocorre tipicamente quando código em kernel recebe um ponteiro ou handle de um processo em modo usuário e o usa sem validar corretamente sua origem ou integridade, permitindo que um atacante manipule esse valor para fazer o kernel ler ou escrever em memória arbitrária.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) confirma o padrão: exploração local (AV:L), sem interação do usuário, mas exigindo privilégios baixos já presentes na máquina (PR:L). Ou seja, não é uma falha explorável remotamente nem por um usuário anônimo — o atacante precisa de uma sessão local autenticada, ainda que com poucos privilégios. O impacto reportado é total (C:H/I:H/A:H), consistente com execução de código em contexto de kernel após a dereferência corrompida.

A ausência de detalhes técnicos públicos sobre o driver específico é uma lacuna real do advisory oficial — não uma omissão nossa. Pesquisadores que produziram a PoC pública provavelmente identificaram o componente exato, mas essa informação não constava nas fontes disponíveis para esta página.

Pré-requisito central: acesso local com privilégios baixos na máquina Windows alvo. Isso restringe o cenário de exploração a situações onde o atacante já obteve um ponto de apoio — via phishing, credenciais roubadas, serviço comprometido, ou acesso físico/RDP com conta de usuário padrão. A CVE não permite comprometimento inicial; ela é usada para escalar de usuário comum a SYSTEM depois que o atacante já está dentro do sistema.

A existência de PoC pública e de módulo Metasploit significa que a complexidade prática de exploração é baixa para quem já tem o pré-requisito de acesso local — não exige engenharia reversa própria, apenas execução da ferramenta contra um host não corrigido. Isso explica por que a CISA confirmou exploração ativa e adicionou a falha ao KEV, mesmo com o vetor sendo estritamente local.

O uso típico em campanhas reais é como etapa de pós-exploração: ransomware, malware de commodity ou operadores de intrusão usam esse tipo de EoP kernel para desativar EDR, acessar credenciais protegidas por LSA, ou persistir com privilégios de sistema depois do acesso inicial. A CISA não classificou a falha como associada especificamente a campanhas de ransomware (campo 'Known To Be Used in Ransomware Campaigns' marcado como 'Unknown' no catálogo).

A mitigação primária é aplicar a atualização de segurança da Microsoft referente a esta CVE, disponibilizada no ciclo de atualizações de junho de 2024 (a CVE foi publicada em 2024-06-11, coincidindo com o Patch Tuesday daquele mês). O advisory oficial da MSRC lista as builds específicas corrigidas por versão do Windows (10 1507, 1607, 1809, 21H2, 22H2; 11 21H2, 22H2, 22H3) — não reproduzimos aqui números de build por não termos o conteúdo completo do advisory nesta pesquisa; confirme a build exata instalada contra a tabela do MSRC antes de considerar o host corrigido.

Como a exploração exige acesso local prévio, um controle compensatório real — embora não substitua o patch — é reduzir a superfície de contas com acesso interativo local e reforçar EDR/monitoramento de comportamento anômalo em processos que tentam operações de kernel incomuns. Isso não neutraliza a falha, apenas limita quem pode chegar ao pré-requisito de exploração.

Não funciona como mitigação: desabilitar UAC, restringir apenas contas administrativas, ou confiar em segmentação de rede — a falha é local e não depende de rede. Como a CISA colocou a CVE no KEV com prazo de correção (due date 2025-01-06 para agências federais dos EUA), o entendimento operacional é que o risco justifica tratamento como patch obrigatório, não opcional, independentemente de exploração observada no seu ambiente específico.

Não há assinatura de rede confiável, já que a exploração ocorre inteiramente em modo local/kernel sem tráfego de rede associado. Os sinais mais úteis são: eventos de crash ou comportamento anômalo em drivers do kernel (BSOD ou exceções incomuns em componentes do subsistema kernel-mode), execução de ferramentas de exploração conhecidas do Metasploit (module targeting esta CVE) detectadas por EDR/AV com assinatura atualizada, e escalonamento inesperado de um processo de usuário padrão para contexto SYSTEM sem justificativa de negócio.

Como a Microsoft não publicou detalhes do driver específico afetado, não é possível apontar um log de evento (Event ID) determinístico associado à exploração desta CVE nas fontes consultadas — trate essa lacuna como real, não como omissão.