Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no subsistema ALPC (Advanced Local Procedure Call) do Windows, mecanismo interno de comunicação entre processos usado por serviços do sistema. Um processo com privilégio baixo consegue escalar até SYSTEM sem interação do usuário. A CISA confirma exploração ativa e listou a falha no catálogo KEV no mesmo dia da publicação, com prazo de correção de apenas 21 dias — sinal de que já havia exploração em campo antes do patch.

A vulnerabilidade é classificada pela CISA como CWE-416 (Use After Free). ALPC é o mecanismo de IPC interno usado por componentes core do Windows para troca de mensagens entre processos com diferentes níveis de privilégio, incluindo serviços que rodam como SYSTEM. Um use-after-free nesse subsistema significa que algum handler de mensagem ALPC libera uma estrutura de memória e, em seguida, ainda a referencia — abrindo espaço para um atacante manipular o conteúdo realocado dessa memória e influenciar a execução de código no contexto do processo privilegiado.

A Microsoft não publicou detalhes técnicos aprofundados sobre qual componente específico dentro do ALPC contém a falha nem qual sequência exata de mensagens dispara a condição de use-after-free — o advisory do MSRC é sucinto, seguindo o padrão da Microsoft para vulnerabilidades já exploradas, onde detalhes que facilitariam replicação são omitidos.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N/S:C) indica que o ataque é estritamente local, de baixa complexidade, exige apenas privilégio baixo (um usuário comum já autenticado na máquina) e não depende de interação de terceiros. O Scope Changed (S:C) confirma que o impacto ultrapassa o componente vulnerável — o atacante ganha controle sobre outro contexto de segurança, no caso, privilégios de SYSTEM.

O pré-requisito real é acesso local à máquina com uma conta de baixo privilégio — não é uma falha explorável remotamente sem essa base. Isso limita o cenário de risco a duas situações práticas: um atacante que já obteve um shell inicial com privilégio limitado (via phishing, exploração de outra aplicação, ou até acesso físico/RDP com credenciais de usuário comum) e precisa escalar para admin/SYSTEM; ou um insider malicioso.

Existindo PoC pública, a barreira técnica para reprodução caiu — qualquer operador com acesso a um shell de baixo privilégio pode aplicar a técnica sem desenvolver o exploit do zero. Isso explica a presença no KEV logo na data de publicação: normalmente esse tipo de EoP local é usado como segundo estágio de uma intrusão, não como vetor inicial, e por isso costuma aparecer em cadeias de ataque onde o comprometimento inicial já ocorreu por outro meio.

A CISA marca a exploração ativa como confirmada, mas classifica o uso em campanhas de ransomware como "Unknown" — ou seja, não há atribuição pública consolidada a um grupo ou família de malware específica associada a essa CVE nas fontes disponíveis.

A ação recomendada pela CISA é aplicar as atualizações da Microsoft conforme as instruções do fornecedor — não há workaround documentado que desabilite ALPC (é um mecanismo core do sistema operacional, sem viabilidade de remoção ou desativação). Não existe mitigação de configuração ou compensação real além do patch, já que a falha está no componente de comunicação interna do Windows.

O prazo de 21 dias definido pela CISA (due date 2023-01-31, para publicação em 2023-01-10) reflete a urgência: organizações sob diretiva BOD 22-01 tinham esse prazo para corrigir. Para os demais ambientes, o risco prático depende de quantos usuários com acesso local de baixo privilégio existem na máquina — servidores multiusuário e estações compartilhadas têm exposição maior que endpoints de uso único bem segmentados.

Não há número de build ou KB específico disponível nas fontes consultadas para citar aqui com segurança — a recomendação é confirmar a build exata corrigida para cada versão de Windows diretamente no MSRC, associando a atualização de segurança de janeiro de 2023 à versão específica em uso.

Por ser uma falha de elevação de privilégio puramente local, não há assinatura de tráfego de rede associada. Sinais possíveis incluem crashes ou comportamento anômalo em processos que hospedam handlers ALPC (relacionados a serviços do sistema), eventos de criação de processo com token elevado a partir de um processo de usuário comum sem cadeia de execução esperada, e alertas de EDR para técnicas de elevação de privilégio local (correspondendo a táticas MITRE ATT&CK de Privilege Escalation via exploração de vulnerabilidade). Não há indicador de comprometimento público específico associado a essa CVE nas fontes consultadas — a ausência de assinatura confiável e documentada é, em si, a informação relevante para quem monitora.