Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability

Falha de elevação de privilégio no AFD.sys, o driver kernel que implementa o subsistema WinSock (sockets) no Windows. Um atacante que já tenha acesso local autenticado (mesmo com privilégios baixos) pode escalar para SYSTEM/administrador explorando uma condição de memória no driver. Está no catálogo KEV da CISA com exploração confirmada e PoC pública circulando, o que eleva a urgência mesmo com CVSS 7.8 (não crítico) e EPSS baixo (0.0166) — números que subestimam o risco real dado o uso ativo em campanha.

Há divergência entre as fontes oficiais sobre a natureza exata da falha: o advisory da Microsoft (MSRC) classifica como null pointer dereference, enquanto o catálogo KEV da CISA descreve como use-after-free (CWE-416). Essa discrepância é relevante — indica que a causa raiz publicada pelo fornecedor e a classificação usada pela CISA para fins de rastreamento não coincidem, e não há fonte técnica independente lida que resolva a contradição. Registre as duas versões ao avaliar risco.

O AFD.sys expõe ao espaço de usuário uma interface via IOCTLs no dispositivo \Device\Afd, processando requisições de qualquer aplicação que use a API WinSock — ou seja, praticamente todo processo com acesso à rede no Windows passa por esse driver. Bugs de gerenciamento de memória nesse componente (seja desreferência de ponteiro nulo, seja um objeto liberado e reutilizado) ocorrem em contexto kernel, o que significa que uma condição de corrupção ali dá ao atacante controle sobre estruturas do kernel, não apenas um crash.

O atacante controla os parâmetros enviados via IOCTL ao driver — é essa superfície (structs, ponteiros, tamanhos de buffer passados pelo processo em modo usuário) que provavelmente é manipulada para acionar a condição de nulo/UAF. Não há, nas fontes disponíveis, detalhamento do IOCTL específico ou da sequência exata que provoca o bug.

O vetor é estritamente local: o CVSS (AV:L, PR:L, UI:N) e a própria descrição da Microsoft ('authorized attacker') deixam claro que não há componente de rede remota nem interação de usuário — é preciso já ter uma sessão autenticada na máquina, mesmo que com privilégios baixos. Isso normalmente significa um segundo estágio de ataque: o adversário já obteve execução de código via outro vetor (phishing, exploit de aplicação, credencial comprometida) e usa essa falha para sair de um contexto restrito e chegar a SYSTEM.

A presença no catálogo KEV confirma exploração ativa in-the-wild, e a existência de PoC pública reduz a barreira para reprodução por qualquer atacante com acesso local, incluindo malware comum que precise de elevação para persistência, desativação de EDR ou movimento lateral. Não há, nas fontes lidas, atribuição a grupo de ameaça específico ou detalhes de campanha.

O resultado final da exploração bem-sucedida é escalonamento completo de privilégios — de um usuário padrão para SYSTEM/administrador — o que na prática destrava qualquer restrição de segurança local subsequente (leitura de LSASS, desativação de controles, instalação de drivers, etc).

A mitigação primária é aplicar a atualização de segurança da Microsoft referente a esta CVE, publicada no boletim de maio de 2025. As fontes lidas não trazem o número de KB ou build específico de correção por sistema — verifique o Update Guide da Microsoft para a versão exata de patch aplicável a cada edição do Windows listada (10 1507/1607/1809/21H2/22H2, 11 22H2/22H3/23H2).

A CISA determinou prazo de mitigação até 03/06/2025 para agências federais sob BOD 22-01, orientação que serve de referência de urgência também fora do escopo federal. Não há paliativo de configuração conhecido e publicado nas fontes — o AFD.sys é componente central do stack de rede do Windows (WinSock), então não é possível desabilitá-lo ou removê-lo como controle compensatório sem quebrar toda comunicação de rede do sistema.

O que não funciona: tratar isso como algo mitigável por segmentação de rede ou firewall, já que o vetor é local e não depende de tráfego externo. Controles de EDR que restrinjam execução de código não confiável e reduzam a superfície de "primeiro estágio" (o vetor que dá acesso local inicial) ajudam a reduzir a chance de a EoP ser sequer alcançável, mas não substituem o patch.

Não há assinatura de detecção pública ou IOC conhecido documentado nas fontes disponíveis. Como sinal indireto, monitore crashes ou comportamento anômalo envolvendo afd.sys (BSODs relacionados, exceções de driver) e eventos de elevação de privilégio local não explicados por atividade administrativa legítima — especialmente em sequência após execução de processo suspeito por usuário não privilegiado. Na ausência de assinatura oficial, a detecção prática depende de EDR observando comportamento pós-exploração (novo processo SYSTEM originado de sessão de usuário padrão) mais do que da tentativa de exploração em si.