CVE-2016-0167

Falha de elevação de privilégio local no driver em modo kernel win32k.sys do Windows, corrigida pelo boletim MS16-039 (abril/2016). Um processo local sem privilégios pode escalar para SYSTEM através de uma aplicação especialmente criada. Está no catálogo KEV da CISA como exploração confirmada, mas o boletim a classifica como "Important" (não crítica), porque exige execução de código local — não é uma falha remota.

A vulnerabilidade reside no driver em modo kernel win32k.sys, componente que implementa parte da interface gráfica do Windows (janelas, menus, GDI) e roda com privilégios de kernel. A Microsoft classifica como CWE-264 (controle de permissão/privilégio incorreto) e descreve apenas como "Win32k Elevation of Privilege Vulnerability", sem detalhar a estrutura de dados ou a rotina específica afetada.

O mesmo boletim MS16-039 corrigiu três EoPs distintas no win32k (CVE-2016-0143, CVE-2016-0165 e esta, CVE-2016-0167), tratadas pela Microsoft como falhas independentes — não são a mesma cadeia de bug nem variantes triviais uma da outra, apesar de compartilharem o mesmo componente e o mesmo patch.

O padrão típico de EoP em win32k dessa era envolve o atacante controlando objetos de janela, callbacks ou estruturas de kernel através de chamadas de API do subsistema gráfico (funções da família Nt/Zw expostas via win32k), induzindo o kernel a escrever ou ler em endereço não pretendido. O advisory público não detalha qual objeto ou callback está envolvido neste CVE específico.

Vetor local: o atacante precisa já ter capacidade de executar código como usuário autenticado na máquina alvo (AC:L, PR:N na métrica CVSS, mas UI:R — requer alguma interação do usuário para acionar a aplicação maliciosa). Não há componente de rede; a exploração não pode ser feita remotamente sem antes obter execução de código local por outro meio (phishing com anexo executável, outra vulnerabilidade, acesso físico/RDP, etc.).

Uma vez executada a aplicação criada, ela interage com o driver win32k de forma a corromper estado do kernel e obter execução de código ou controle sobre estruturas privilegiadas, resultando em escalonamento de SYSTEM. Esse padrão é clássico em kits de exploração usados após comprometimento inicial (drop de malware que precisa de privilégios elevados para persistência, desativação de defesas ou movimento lateral).

A CISA confirma exploração ativa (entrada no catálogo KEV, adicionada em 2021-11-03, com prazo de correção 2022-05-03 para agências federais dos EUA), mas não há detalhamento público de campanha, grupo de ameaça ou ferramenta associada nas fontes consultadas. É comum esse tipo de EoP em win32k aparecer combinado com exploits de execução remota de código em outros componentes para formar uma cadeia completa de comprometimento.

Aplicar a atualização do boletim MS16-039 (abril de 2016) é a correção definitiva. Para Windows Vista SP2, Windows Server 2008 SP2/R2 SP1, Windows 7 SP1, Windows 8.1, Windows Server 2012/R2 e Windows RT 8.1, o pacote é o KB3145739. Para Windows 10 Gold, o pacote é o KB3147461; para Windows 10 versão 1511, o KB3147458.

Todos esses sistemas operacionais estão fora do ciclo de suporte padrão da Microsoft há anos (Vista, Server 2008, 7, 8.1, RT 8.1, Windows 10 Gold/1511 sem suporte estendido). Se ainda houver instância rodando algum desses sistemas sem o patch aplicado, atualizar para uma versão suportada do Windows é o caminho correto — não existe mitigação de configuração equivalente que neutralize uma falha de corrupção em driver de kernel. Restringir quem pode executar código arbitrário na máquina (least privilege, controle de aplicação/whitelisting, EDR bloqueando execução de binários não assinados) reduz a superfície de uso da falha, mas não a corrige.

Não existe mitigação via WAF ou controle de rede, porque o vetor é inteiramente local — filtragem de tráfego não tem efeito algum aqui.

Não há assinatura ou indicador de log confiável e público associado especificamente a este CVE. Exploração de EoP em win32k tipicamente não deixa rastro de rede (é puramente local) e o próprio advisory da Microsoft não descreve artefatos observáveis. Em ambientes com EDR, o sinal prático mais próximo é comportamento anômalo pós-exploração: processo de usuário padrão que sobe para SYSTEM sem passar por mecanismo legítimo (serviço, agendador, UAC), ou crashes recorrentes de win32k.sys/csrss.exe que podem indicar tentativas falhas de exploração. Na ausência de detecção comportamental madura, a defesa prática é garantir que o patch esteja aplicado — a CISA classifica a ação conhecida simplesmente como "aplicar atualizações conforme instrução do fornecedor".