Windows Common Log File System Driver Elevation of Privilege Vulnerability

Falha de use-after-free (CWE-416) no driver do Common Log File System (clfs.sys) do Windows permite que um usuário local já autenticado eleve privilégios até SYSTEM. Não é uma falha remota: o atacante precisa de execução de código local prévia (PR:L no vetor CVSS), mas a partir daí a escalação é direta e sem interação do usuário. Importa porque a CISA confirmou exploração ativa antes da correção e incluiu a CVE no catálogo KEV com prazo curto (21 dias) — e porque o CLFS já acumula várias EoPs semelhantes em anos recentes, tornando-se um alvo recorrente para escalonamento pós-exploração em intrusões e ransomware.

O CLFS é o subsistema de log genérico do kernel do Windows, usado por NTFS transacional, MSMQ e outros componentes para gravar registros de log em containers/blocos. A falha é um use-after-free: o driver libera uma estrutura interna associada a um log/objeto CLFS, mas mantém ou reutiliza uma referência a essa memória depois da liberação. Um processo local com privilégios baixos, ao interagir com as APIs de manipulação de logs do CLFS expostas ao modo usuário, consegue forçar essa sequência de liberação e reuso, corrompendo memória do kernel em uma região que ele pode influenciar (heap grooming/realocação controlada), o que abre caminho para execução de código em contexto SYSTEM.

A descrição oficial da Microsoft e da CISA classifica isso como CWE-416 clássico em driver de kernel — não é um bug de validação de entrada em API de rede, é um problema de gerenciamento de ciclo de vida de objeto dentro do driver. O atacante não controla dados vindos de rede; ele controla a sequência e o timing de operações locais sobre arquivos de log CLFS, e possivelmente o conteúdo desses arquivos/estruturas, o suficiente para direcionar a realocação de memória liberada.

O CLFS tem histórico de vulnerabilidades semelhantes (outras EoPs no mesmo driver em anos anteriores), o que sugere superfície de ataque estrutural — lógica de gerenciamento de metadados de log complexa e historicamente frágil — e não um bug isolado.

Pré-requisito real: o atacante já precisa ter conseguido executar código como usuário padrão na máquina alvo — via phishing, credencial roubada, RCE em outra aplicação, ou acesso físico/RDP autenticado. Isso não é uma falha explorável remotamente por um atacante sem pé de apoio algum; ela serve como segundo estágio de uma intrusão, não como vetor de entrada. Depois desse acesso inicial, a exploração local é de baixa complexidade e não exige interação da vítima (UI:N) nem configuração fora do padrão — qualquer instalação padrão do Windows nas versões afetadas é suscetível.

A CISA confirmou exploração ativa antes da divulgação da correção (motivo da entrada no KEV) e existe PoC pública disponível após o patch, o que baixa a barreira para réplicas por outros atores. Relatos públicos de pesquisa de ameaças (fora das fontes primárias aqui catalogadas, portanto tratados como informação de contexto e não como fato verificado nesta página) associaram campanhas de exploração dessa CVE a um backdoor modular usado como estágio intermediário antes da implantação de ransomware em setores como TI, imobiliário e financeiro em múltiplos países — mas essa atribuição específica não consta no advisory da Microsoft nem no registro do KEV lidos para esta ficha, que se limitam a confirmar UAF/CWE-416 e exploração ativa local.

Resultado final da exploração: processo que antes rodava com privilégios de usuário padrão passa a executar com privilégios SYSTEM, permitindo desativar defesas, extrair credenciais (LSASS), instalar persistência em nível de kernel e mover lateralmente — o clássico pivô de EoP usado logo antes de ransomware ou coleta massiva de credenciais.

A correção definitiva é aplicar a atualização de segurança da Microsoft referente a abril de 2025 (a CVE foi publicada em 2025-04-08, coincidindo com o Patch Tuesday do mês) para a build específica de cada versão do Windows listada como afetada. Os números de KB/build exatos por versão (Windows 10 1507, 1607, 1809, 21H2, 22H2; Windows 11 22H2/23H2) constam do advisory oficial da MSRC — não reproduzimos aqui números de build porque as únicas fontes secundárias disponíveis para esta ficha traziam tabelas de versão inconsistentes e misturadas com produtos não relacionados (Linux, macOS), que não são confiáveis para essa finalidade. Confira o advisory da MSRC para a build mínima corrigida da sua instalação antes de considerar o ambiente protegido.

Como é uma falha em driver de kernel sem alternativa funcional (o CLFS é usado por subsistemas internos do Windows, não é seguro simplesmente desativá-lo), não existe paliativo equivalente a uma flag de configuração que neutralize o bug sem o patch. O controle compensatório real é reduzir a probabilidade do pré-requisito: restringir quem pode executar código arbitrário no host (allowlisting de aplicações, princípio de menor privilégio, segmentação de contas administrativas) diminui a chance de um atacante chegar ao ponto de partida (execução local) necessário para essa EoP. Isso mitiga o risco, não a vulnerabilidade.

O que não funciona como mitigação: confiar em antivírus de assinatura ou em firewall de rede — a exploração é inteiramente local, pós-comprometimento, e não deixa tráfego de rede característico para bloquear. Organizações sob BOD 22-01 (agências federais dos EUA) tinham prazo até 2025-04-29 conforme o KEV; para os demais ambientes, o prazo prático deveria ter sido o mesmo, dada a exploração já confirmada antes da publicação.