Microsoft DWM Core Library Elevation of Privilege Vulnerability

Falha use-after-free (CWE-416) na Desktop Window Manager (DWM) Core Library do Windows que permite a um atacante já autenticado localmente elevar privilégios até SYSTEM, já que o processo dwm.exe roda com privilégios elevados. A CISA confirmou exploração ativa e incluiu a falha no catálogo KEV com prazo de correção em 03/06/2025; o CVSS 7.8 reflete que exige acesso local prévio (PR:L), não é uma falha remota.

A DWM (Desktop Window Manager) é o componente responsável pela composição visual de janelas no Windows (efeitos, transparência, thumbnails) e roda como serviço com privilégios elevados, processando requisições enviadas por processos de menor privilégio via RPC. A vulnerabilidade é um use-after-free (CWE-416): um objeto interno da DWM Core Library é liberado (free) em um caminho de código, mas um ponteiro para esse objeto permanece acessível e é reutilizado (use) em outro caminho, sem revalidação.

Em falhas desse tipo, o atacante normalmente precisa vencer uma condição de corrida — provocar a liberação do objeto e, antes que a memória seja reaproveitada por outra alocação legítima, forçar a realocação dessa mesma região com dados controlados (heap grooming/spray). Se conseguir isso, o ponteiro dangling passa a apontar para memória sob controle do atacante, permitindo corromper estruturas internas do processo DWM e, a partir daí, desviar fluxo de execução ou escrever dados privilegiados.

Como o dwm.exe roda com token de privilégio elevado (tipicamente SYSTEM), a corrupção de memória dentro dele — se explorada com sucesso — dá ao atacante execução de código no contexto desse processo, ou seja, salto direto de um usuário padrão para privilégios de sistema. Não há indicação nas fontes disponíveis de que a falha seja explorável remotamente ou sem sessão local interativa.

O vetor é local (AV:L): o atacante precisa já ter uma sessão autenticada com privilégios baixos (PR:L) na máquina — seja um funcionário mal-intencionado, seja um invasor que já obteve um shell de baixo privilégio via outra técnica (phishing, exploração de aplicação, etc.). A partir daí, ele executa um binário/script local que aciona o caminho de código vulnerável na DWM, tenta ganhar a corrida do use-after-free e busca reutilizar a memória liberada para corromper o processo e escalar para SYSTEM. A interação do usuário não é necessária (UI:N) além da própria sessão do atacante.

Existe PoC pública e a CISA confirma exploração ativa em campo (entrada no KEV), o que eleva a prioridade de correção mesmo com CVSS moderado — a métrica reflete a pré-condição de acesso local, não a facilidade real de abuso quando essa condição já está satisfeita. Não há registro nas fontes consultadas de que essa CVE seja usada em campanhas de ransomware (campo 'Known To Be Used in Ransomware Campaigns' listado como 'Unknown' pela CISA).

Na prática, essa classe de vulnerabilidade é o tipo de peça usada em cadeias de ataque: o atacante primeiro obtém um ponto de apoio com privilégio baixo (via malware, exploit de aplicação, credencial roubada) e depois usa esta EoP para virar administrador/SYSTEM na máquina comprometida, viabilizando movimento lateral, dump de credenciais e persistência.

A correção definitiva é aplicar as atualizações de segurança da Microsoft para a versão do Windows em uso. A publicação do CVE (13/05/2025) coincide com o Patch Tuesday de maio de 2025; o número de KB/build específico para cada versão afetada (Windows 10 1809/21H2/22H2, Windows 11 22H2/22H3/23H2/24H2, Windows Server 2019) não está detalhado nas fontes consultadas — consulte o MSRC Update Guide para o CVE e o Update History de cada build para confirmar o KB exato antes de considerar o sistema corrigido.

Não há paliativo de configuração conhecido e documentado nas fontes disponíveis (não é uma feature que se desative por flag ou GPO) — a exploração depende de um defeito de memória no binário da DWM, não de um comportamento configurável. Como controle compensatório, priorize reduzir a superfície de acesso local não confiável: restringir contas com logon interativo, aplicar princípio de menor privilégio, e usar EDR com detecção de técnicas de corrupção de memória/heap spray em processos do sistema.

O fato de exigir acesso local prévio não deve ser usado como justificativa para postergar o patch — a CISA determinou prazo de correção até 03/06/2025 para agências federais dos EUA justamente porque a exploração já ocorre encadeada a outras técnicas de comprometimento inicial. Segmentação de rede ou firewall não mitigam esta falha, já que o vetor não é de rede.

Não há assinatura de rede a procurar, pois a exploração é inteiramente local e ocorre dentro do processo dwm.exe. Sinais indiretos possíveis incluem: crashes ou reinícios inesperados do processo Desktop Window Manager (dwm.exe) em Event Viewer (Application/System logs), alertas de EDR relacionados a corrupção de heap ou técnicas de use-after-free associadas a esse processo, e elevação de privilégio inesperada (processos de usuário padrão gerando child processes com token SYSTEM). Como o PoC é público, ambientes de teste podem usar telemetria de EDR para validar detecção de comportamento anômalo do dwm.exe, mas nenhuma fonte consultada aponta um indicador de comprometimento (IOC) específico e confiável publicado pela Microsoft ou pela CISA.