Windows Common Log File System Driver Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no driver Common Log File System (CLFS.sys) do Windows, usado por diversos componentes do sistema para logging transacional. Um atacante que já tenha execução de código com privilégios baixos na máquina pode escalar para SYSTEM. O CVSS alto (7.8) não indica risco remoto — é uma vulnerabilidade de pós-exploração, tipicamente encadeada após um acesso inicial obtido por outro vetor (phishing, credencial comprometida, outra RCE).

A Microsoft classificou a falha como Elevation of Privilege no CLFS driver, mas o advisory oficial (MSRC) não detalha publicamente o tipo exato de bug de memória por trás dela — não há CWE nem descrição de primitiva (use-after-free, type confusion, etc.) confirmada nas fontes oficiais consultadas. O que se sabe com segurança é o padrão de exploração: o vetor CVSS AV:L/AC:L/PR:L/UI:N indica que o atacante precisa de acesso local já autenticado com algum privilégio (PR:L), sem interação do usuário, e a complexidade de exploração é baixa.

CLFS.sys é um alvo recorrente para bugs de EoP no Windows — a mesma classe de driver concentra várias outras CVEs em anos posteriores (2022, 2023) exploradas de forma similar, todas girando em torno de manipulação de estruturas internas de log (BLF/LLF) processadas pelo driver em modo kernel. Isso é conhecimento de contexto sobre a família de falhas do CLFS, não uma confirmação específica do mecanismo interno desta CVE-2021-43226, que não foi detalhado nas fontes disponíveis.

O impacto declarado é total: confidencialidade, integridade e disponibilidade em nível High, condizente com execução de código arbitrário em modo kernel ou obtenção de token SYSTEM a partir de um processo de usuário comum.

O pré-requisito real é acesso local com algum nível de privilégio na máquina — não é uma falha explorável remotamente nem via rede. Na prática, isso significa que o atacante já rodou código no sistema (via malware, script, sessão RDP comprometida, etc.) e usa esta falha como etapa de escalonamento, não como ponto de entrada. Existe PoC pública, o que reduz a barreira técnica para replicar a exploração uma vez obtido o acesso inicial.

A CISA incluiu a CVE no catálogo KEV confirmando exploração ativa observada, mas a data de inclusão (06/10/2025) é quase quatro anos posterior à publicação original (dezembro/2021) — indício de que a exploração em campo foi identificada/confirmada tardiamente, possivelmente em cadeias de ataque mais recentes que reaproveitam essa falha antiga em máquinas não corrigidas. O catálogo KEV marca como "Unknown" o uso em campanhas de ransomware, ou seja, não há confirmação pública desse vínculo específico.

O resultado final da exploração bem-sucedida é elevação para privilégios de SYSTEM, permitindo desativar controles de segurança, instalar persistência, acessar credenciais e mover-se lateralmente com privilégios administrativos completos.

A correção veio via atualização de segurança da Microsoft no ciclo de dezembro de 2021 (Patch Tuesday), listada no advisory MSRC para CVE-2021-43226. As fontes consultadas não trazem o número de KB/build exato por sistema operacional — antes de considerar corrigido, confirme no MSRC ou no Windows Update Catalog a build específica para cada versão do Windows 10 listada como afetada.

Como a falha exige acesso local já estabelecido, controles compensatórios reais são: reduzir superfície de contas com privilégios de logon interativo, aplicar princípio de menor privilégio para processos e serviços, e monitorar/restringir execução de binários não assinados que possam servir de vetor de acesso inicial. Isolamento de rede ou WAF não têm efeito aqui — não é uma falha de rede.

Sistemas Windows 10 fora de suporte estendido (versões antigas como 1507, 1607, 1809 sem ESU) que não recebem mais patches ficam permanentemente vulneráveis; nesses casos a única mitigação real é migração para uma versão com suporte ativo, já que não há workaround de configuração conhecido publicado pela Microsoft para desativar ou mitigar o driver CLFS sem quebrar funcionalidades do sistema.

Não há assinatura ou IOC público confiável divulgado nas fontes consultadas para identificar tentativas de exploração desta CVE especificamente. De forma genérica, exploração de falhas de EoP no CLFS costuma se manifestar como criação inesperada de processos com token SYSTEM a partir de processos de usuário padrão, crashes ou comportamento anômalo do driver clfs.sys em logs de eventos do sistema, e presença de artefatos de PoC público em disco ou em execução — mas nenhum desses sinais é exclusivo ou confirmado oficialmente para esta CVE.