Windows Fast FAT File System Driver Remote Code Execution Vulnerability

Falha de integer overflow (CWE-190) no driver fastfat.sys do Windows, que ao processar uma estrutura de sistema de arquivos FAT malformada gera um cálculo de tamanho incorreto e resulta em overflow de heap (CWE-122) em modo kernel. Está no catálogo KEV da CISA com exploração confirmada in-the-wild e existe PoC público, mas o vetor exige interação do usuário — não é um RCE remoto disparado por rede, e sim execução local após o usuário montar ou acessar um volume/imagem FAT adulterado.

O bug reside no parsing de metadados FAT (boot sector, FAT table ou entradas de diretório) dentro do driver fastfat.sys. Um campo controlado pelo atacante — presumivelmente um valor de tamanho ou offset lido da estrutura do volume — é usado em uma operação aritmética sem verificação adequada de limites. Quando esse valor é manipulado para causar wraparound (CWE-190), o resultado da conta é usado para alocar ou copiar dados em um buffer no heap do kernel, produzindo um heap overflow (CWE-122) classificado separadamente pela CISA.

Como o processamento ocorre em modo kernel, um overflow de heap ali é potencialmente mais perigoso que o equivalente em user-mode: corrupção de estruturas do kernel pode levar a execução de código com privilégios de SYSTEM, não apenas do processo que montou o volume. O vetor CVSS informa AV:L (ataque local) e PR:N (sem privilégio prévio), mas exige UI:R — o atacante não invoca o driver remotamente; ele precisa que a vítima execute alguma ação que force o Windows a montar/ler o volume FAT malicioso.

A Microsoft não publicou detalhes de código-fonte do fastfat.sys nem indicou a função exata afetada nas informações disponíveis publicamente até a data de publicação. O CWE duplo (CWE-190 + CWE-122) no registro da CISA KEV confirma que o overflow aritmético é a causa raiz e o overflow de heap é a consequência explorável.

O caminho de exploração documentado (pré-condição central, e a informação mais importante desta página) depende de o Windows processar um sistema de arquivos FAT controlado pelo atacante — tipicamente uma mídia removível (pendrive), uma imagem de disco (VHD/VHDX montado) ou qualquer volume formatado em FAT/FAT32/exFAT-legado que a vítima conecte ou abra. Não há exploração via rede sem essa etapa: o atacante precisa convencer ou induzir a vítima a montar o volume malicioso, o que caracteriza o UI:R do vetor CVSS.

A presença no catálogo KEV da CISA confirma exploração ativa observada, mas a CISA não classifica a falha como usada em campanhas de ransomware ('Unknown' no campo correspondente) e não há EPSS elevado (0.037), o que sugere exploração direcionada ou em escala limitada, não massificada como worms de rede. A complexidade de exploração de integer overflow em kernel para RCE completo costuma exigir engenharia cuidadosa do layout de heap para transformar a corrupção em execução de código confiável — mais trabalho que um simples DoS, que é o resultado mais fácil de obter.

O resultado final bem-sucedido é execução de código em modo kernel (SYSTEM), permitindo ao atacante escapar de qualquer sandbox de usuário e comprometer totalmente a máquina local a partir de uma sessão com privilégios mínimos — cenário relevante em pontos de acesso físico (quiosques, estações compartilhadas) ou como segundo estágio depois de já ter code execution em user-mode e precisar de elevação de privilégio.

A correção é aplicar a atualização de segurança da Microsoft referente a este CVE, distribuída no Patch Tuesday de 11 de março de 2025, para a versão específica de Windows/Windows Server em uso. Não temos, nas fontes disponíveis, os números de KB ou de build pós-correção confirmados por versão — consulte diretamente a página do MSRC para o CVE e o Microsoft Update Catalog para obter o KB exato do seu build antes de considerar o sistema corrigido; não assuma que uma atualização cumulativa genérica recente cobre a falha sem confirmar o KB associado a este CVE.

Como paliativo real quando a atualização não pode ser aplicada imediatamente: restringir ou desabilitar a montagem automática de mídia removível (AutoPlay/AutoRun já desabilitados por padrão em versões modernas, mas verifique políticas de Removable Storage Access via GPO) reduz a superfície de exposição, já que o vetor primário depende do sistema processar um volume FAT malicioso. Bloquear portas USB por política de grupo ou DLP em endpoints de alto risco também reduz a chance de introdução do volume malicioso. Isso não substitui o patch — apenas diminui a probabilidade da etapa de entrega.

Não funciona como mitigação: desabilitar suporte a FAT/FAT32 inteiramente não é uma opção padrão suportada no Windows (o driver é usado por diversas rotinas do sistema, incluindo partições de recuperação e EFI em alguns cenários), então essa não é uma alternativa prática ao patch. Da mesma forma, soluções de perímetro de rede (firewall, WAF) não têm efeito, pois o vetor é local por natureza.

Não há assinatura de rede a procurar, pois a exploração é local e depende de montagem de volume/arquivo FAT malicioso — não há tráfego de exploração remota para inspecionar. Em nível de host, sinais indiretos incluem crashes ou BSODs recorrentes associados a fastfat.sys nos logs de eventos do Windows (Application/System, source fastfat ou bugcheck referenciando o driver), montagens inesperadas de mídia removível ou imagens de disco por usuários fora do padrão operacional, e alertas de EDR para comportamento anômalo de kernel após inserção de dispositivos USB. Na ausência de indicadores públicos de campanha específica associada a este CVE, a defesa mais confiável é preventiva (patch e controle de mídia removível), não detectiva.