Windows Common Log File System Driver Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no driver CLFS (Common Log File System) do Windows, causada por uma leitura fora dos limites de memória (CWE-125). Um atacante que já tem acesso autenticado de baixo privilégio a uma máquina Windows pode explorá-la para obter privilégios de SYSTEM/kernel. Está no catálogo KEV da CISA com exploração confirmada, o que eleva sua prioridade mesmo com CVSS 'apenas' 7.8 — é peça clássica de escalonamento pós-comprometimento, não vetor de acesso inicial.

O CLFS é o subsistema do kernel do Windows responsável por gerenciar logs de transações usados por diversos componentes do sistema (inclusive NTFS e outros drivers). A vulnerabilidade reside no processamento de estruturas de log pelo driver clfs.sys: uma leitura fora dos limites de um buffer (out-of-bounds read, CWE-125) permite que dados controlados ou parcialmente controlados pelo atacante sejam lidos além da região de memória alocada.

Esse tipo de falha no CLFS não é isolado — faz parte de uma família recorrente de EoPs no mesmo driver (várias CVEs anteriores e posteriores compartilham a mesma superfície: parsing de blocos de metadados/log malformados). O padrão de exploração costuma envolver a criação ou manipulação de um arquivo de log CLFS malformado que, ao ser processado pelo driver em modo kernel, corrompe estado de memória ou expõe dados que permitem contornar proteções e conduzir a escrita arbitrária ou execução de código em contexto de kernel.

O vetor de ataque é local (AV:L): o código malicioso precisa executar na máquina alvo com privilégios já concedidos a um usuário (PR:L), sem necessidade de interação do usuário (UI:N). O impacto é total sobre confidencialidade, integridade e disponibilidade porque a exploração bem-sucedida dá controle em nível de kernel.

A exploração pressupõe que o atacante já tenha um ponto de apoio no sistema — uma sessão de usuário autenticado, ainda que com privilégios baixos. Não há vetor remoto direto: isso não é uma falha explorável por rede sem antes obter execução de código local, o que normalmente vem de phishing, exploração de outra vulnerabilidade de acesso inicial, ou abuso de credenciais. A partir daí, o atacante aciona o driver CLFS com uma estrutura de log manipulada para provocar a leitura fora dos limites e escalar de usuário padrão para SYSTEM.

A CISA confirma exploração ativa no catálogo KEV, e há PoC pública circulando, o que reduz a barreira de reprodução para quem já tem acesso local. Esse padrão — CLFS EoP usado como segundo estágio depois de um vetor de acesso inicial — é historicamente associado a operações de ransomware e a cadeias de exploração comerciais (brokers de exploit), embora a CISA marque como 'Unknown' se esta CVE específica já foi usada em campanhas de ransomware documentadas.

O resultado final da exploração é escalonamento de privilégio completo: de um processo rodando com token de usuário comum para execução em contexto de kernel/SYSTEM, permitindo desativar defesas, instalar persistência, acessar credenciais de outros usuários e mover-se lateralmente com privilégios administrativos.

A correção é aplicar a atualização de segurança da Microsoft referente a esta CVE, disponibilizada no Patch Tuesday de novembro de 2023 (a CVE foi publicada em 14/11/2023, data que coincide com o ciclo de atualizações daquele mês) para cada versão suportada listada em 'produtos afetados'. Os números de build/KB específicos por versão do Windows devem ser confirmados diretamente no advisory da Microsoft (MSRC) para o ambiente em questão — não há dado de build individual nas fontes consultadas para esta resposta, e usar o número errado dá falsa sensação de correção.

Como é vulnerabilidade em driver do kernel sem flag de configuração pública documentada para desativação seletiva do CLFS (o componente é usado por partes do próprio sistema), não há mitigação de configuração equivalente a uma atualização real. Restringir privilégios de execução de código para usuários não administrativos e reforçar controles de EDR/antivírus para bloquear exploits de kernel conhecidos reduz a superfície, mas não elimina a falha — funciona como controle compensatório temporário, não substituto do patch.

O mito a evitar: como o vetor é 'local' e exige privilégio prévio, times de resposta tendem a subestimar a urgência. Isso é justamente o padrão de uso em intrusões reais — CVEs de EoP local no CLFS são usadas depois que o atacante já está dentro, então tratá-la como 'baixo risco' porque não é remota ignora seu papel real em cadeias de ataque completas. A presença no catálogo KEV da CISA implica prazo de correção obrigatório para agências federais dos EUA e é sinal forte de priorização para qualquer organização.

Não há assinatura de rede a procurar, pois a exploração é local e ocorre dentro do kernel via driver clfs.sys — não gera tráfego distintivo. Sinais indiretos incluem crashes ou eventos de erro relacionados ao driver CLFS no Log de Eventos do Windows (System/Application, falhas do clfs.sys), comportamento anômalo de processos que sobem de integridade de usuário padrão para SYSTEM sem via administrativa esperada, e alertas de EDR para técnicas de exploração de kernel (corrupção de memória, tentativas de escalonamento local) em endpoints já sob suspeita. Na ausência de assinatura confiável publicada para esta CVE específica, a detecção depende de telemetria comportamental de EDR e de correlação com outros indicadores de comprometimento prévio na máquina.