Windows Common Log File System Driver Elevation of Privilege Vulnerability

Falha de elevação de privilégio no driver Common Log File System (clfs.sys) do Windows, que gerencia logs transacionais em modo kernel. Um atacante com acesso local e privilégios baixos pode explorá-la para obter execução em contexto SYSTEM. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, mas o vetor exige presença prévia no sistema — não é uma falha explorável remotamente ou sem autenticação.

O CLFS é um driver de kernel do Windows usado por diversos subsistemas (incluindo Event Log e outros serviços que precisam de logging transacional resistente a falhas). Historicamente esse componente concentra uma série recorrente de CVEs de elevação de privilégio — CVE-2021-36955 faz parte dessa família, junto com outras variantes descobertas e corrigidas em 2021-2022. A Microsoft classifica a falha como 'Elevation of Privilege' sem publicar detalhes de causa raiz na advisory pública (nem CWE, nem componente exato do parser CLFS envolvido foram detalhados nas fontes disponíveis).

O vetor CVSS informado (AV:L/AC:L/PR:L/UI:N) indica que o atacante precisa de acesso local à máquina e já possuir privilégios baixos (uma conta autenticada, ainda que não-administrativa), sem necessidade de interação de usuário nem de configuração especial. O impacto é total: confidencialidade, integridade e disponibilidade em nível alto, coerente com uma escalada até SYSTEM/kernel.

Sem acesso ao código-fonte da advisory técnica detalhada, não é possível precisar aqui o mecanismo exato (overflow, race condition, validação insuficiente de metadados de log, etc.) usado nesta CVE específica — evite tratar como equivalente a outras CVEs de CLFS de anos posteriores só porque compartilham o componente.

A exploração exige que o atacante já tenha um ponto de apoio no sistema: uma sessão local autenticada com privilégios baixos, seja via login legítimo, execução de malware, ou compromisso prévio via outro vetor (phishing, credencial roubada, etc.). A partir daí, o código malicioso interage com o driver CLFS para acionar a condição de privilégio elevado e obter execução com privilégios de SYSTEM.

Esse padrão é típico de cadeias de ataque pós-exploração: a falha não abre a porta de entrada, ela é usada depois que o atacante já está dentro, para deixar de ser um usuário limitado e virar administrador do host. É exatamente esse tipo de bug que operadores de ransomware e ferramentas de pós-exploração buscam para consolidar controle antes de mover lateralmente ou implantar payloads finais.

A CISA confirma exploração ativa (entrada no catálogo KEV desde 03/11/2021, com prazo de correção 17/11/2021 para agências federais dos EUA) e há PoC pública disponível, o que reduz a barreira de reprodução para quem já tem as pré-condições de acesso local satisfeitas. A anotação do KEV não especifica detalhes da campanha nem confirma uso por ransomware — a informação disponível se limita a 'exploração conhecida' e à ação recomendada de aplicar as atualizações do fornecedor.

Aplicar a atualização de segurança da Microsoft que corrige esta CVE é a única mitigação real. A publicação em 2021-09-15 coincide com o Patch Tuesday de setembro de 2021; os números de KB específicos por versão de sistema não constam nas fontes consultadas para esta CVE — confirme o KB correto no portal MSRC/Windows Update para a build exata em uso, já que a lista de produtos afetados cobre desde Windows 7 até Windows 10 21H1.

Não há paliativo de configuração conhecido que neutralize a falha sem o patch: o CLFS é carregado por padrão e é usado por componentes do sistema, então desabilitar o driver não é uma opção viável em ambientes de produção. Controles compensatórios úteis, mas parciais, são: restringir privilégios locais e execução de código não confiável (reduz a chance de o pré-requisito PR:L/AV:L ser satisfeito por um atacante), aplicar princípio de menor privilégio em contas de usuário, e usar EDR para detectar comportamento pós-exploração de escalada de privilégio.

Atualizar antivírus ou aplicar regras de firewall não mitiga essa vulnerabilidade — o vetor é local e não depende de tráfego de rede, então controles perimetrais não têm efeito direto sobre a exploração em si (podem, no máximo, dificultar a entrega do payload inicial que dá o acesso local necessário).

As fontes consultadas não trazem indicadores de comprometimento específicos (assinaturas de exploit, hashes de PoC, regras YARA/Sigma) para esta CVE. Por se tratar de falha explorada localmente e pós-comprometimento, não há tráfego de rede característico a monitorar. Monitorar crashes ou comportamento anômalo do driver clfs.sys, eventos de elevação de privilégio inesperada e execução de processos com token SYSTEM originados de contextos de usuário padrão pode servir como sinal indireto, mas isso é inferência geral sobre a família de bugs de CLFS, não uma confirmação específica publicada para CVE-2021-36955.