Windows Error Reporting Service Elevation of Privilege Vulnerability

Falha de elevação de privilégio no Windows Error Reporting Service (WerSvc) que permite a um usuário local autenticado obter privilégios de SYSTEM. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, o que eleva sua prioridade mesmo com CVSS 7.8 — não é RCE remota, mas é um passo clássico de escalonamento em cadeias de ataque pós-comprometimento.

A vulnerabilidade é classificada como CWE-269 (Improper Privilege Management) no componente Windows Error Reporting Service. O serviço WerSvc roda com privilégios elevados e processa artefatos ligados a relatórios de erro (dumps, arquivos temporários, chaves de registro) de forma que um processo com privilégios de usuário comum consegue manipular esse fluxo para fazer o serviço executar ações em seu nome com privilégios de SYSTEM.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N) indica exploração local, sem necessidade de interação do usuário, com baixa complexidade de ataque, mas exigindo privilégios prévios (PR:L) — ou seja, o atacante já precisa ter uma sessão autenticada, mesmo que com poucos privilégios, na máquina. Não há informação pública detalhada do fornecedor sobre o ponto exato do código (qual função ou arquivo do WerSvc) que falha na verificação de privilégio; o MSRC não publicou write-up técnico aprofundado, apenas a entrada padrão de advisory.

O impacto é total: confidencialidade, integridade e disponibilidade em Alto (C:H/I:H/A:H), consistente com execução arbitrária de código em contexto SYSTEM após a exploração bem-sucedida.

O pré-requisito real é acesso local autenticado com privilégios de usuário padrão — não é uma falha explorável remotamente nem por um atacante sem pé já fincado no sistema. Isso a torna relevante principalmente em cenários pós-exploração: um atacante que já obteve execução de código como usuário comum (via phishing, outra vulnerabilidade, credenciais roubadas) usa esta falha para saltar de usuário local para SYSTEM, ganhando controle total da máquina.

Existe PoC pública, o que reduz a barreira técnica para reprodução e provavelmente explica a inclusão no catálogo KEV da CISA com confirmação de exploração ativa. A CISA não caracterizou esta CVE como associada a campanhas de ransomware no registro consultado.

Por não exigir interação do usuário e ter complexidade de ataque baixa uma vez satisfeito o pré-requisito de acesso local, a exploração é considerada trivial de automatizar em ferramentas de pós-exploração e movimento lateral, uma vez que o invasor já tenha um shell com privilégios de usuário.

A ação recomendada pelo fornecedor e pela CISA é aplicar a atualização de segurança correspondente via Windows Update / WSUS / Microsoft Update Catalog para a versão do Windows em uso. O CVSS reporta Remediation Level como 'Official Fix' (RL:O), confirmando que há patch oficial disponível para todas as versões listadas como afetadas; as fontes consultadas não trazem os números de KB/build específicos por versão, então não é seguro citar aqui — confirme o KB exato pelo Update Guide do MSRC para a build instalada.

Se a atualização não puder ser aplicada imediatamente, a orientação da CISA é 'discontinue use of the product if updates are unavailable' — não há paliativo de configuração documentado (como desabilitar WerSvc) validado pelo fornecedor como mitigação suportada; desativar o serviço pode ter efeitos colaterais em diagnóstico e telemetria de falhas e não é uma mitigação oficial, apenas redução de superfície não testada pelo fornecedor.

Controles compensatórios genéricos ajudam a reduzir o risco de exploração: restringir e monitorar contas com logon interativo, aplicar least privilege para evitar que contas comprometidas cheguem a executar código arbitrário localmente, e priorizar patch em ambientes multiusuário ou com terminal services, onde o pré-requisito de 'acesso local' é mais fácil de satisfazer por um atacante.

Não há assinatura pública confiável de detecção documentada nas fontes consultadas. Como a exploração é local e envolve manipulação de processos/artefatos do Windows Error Reporting Service, equipes de SOC podem monitorar criação de processos filhos inesperados a partir de WerSvc/WerFault.exe, tentativas de escrita em diretórios ou chaves de registro usados pelo serviço por processos de baixo privilégio, e elevação anômala de token (SYSTEM) originada de sessões de usuário padrão. A existência de PoC pública sugere que EDRs com regras específicas para abuso do WER podem gerar alertas, mas nenhuma fonte aqui confirma assinatura oficial de detecção do fornecedor.