CVE-2018-8405

Vulnerabilidade de elevação de privilégio no driver DirectX Graphics Kernel (DXGKRNL) do Windows, que permite que um processo local com privilégios baixos execute código com privilégios mais altos ao corromper objetos em memória gerenciados pelo driver. Está no catálogo KEV da CISA com exploração confirmada, mas é uma falha de escalonamento local — não dá acesso inicial, serve para consolidar controle depois de um comprometimento prévio.

A falha reside no driver DXGKRNL, componente do kernel do Windows responsável por mediar operações da pilha gráfica (WDDM) entre processos em modo usuário e a GPU. O advisory da Microsoft descreve a causa como manuseio impróprio de objetos em memória. O catálogo KEV da CISA classifica a falha como CWE-404 (Improper Resource Shutdown or Release), o que sugere um cenário de liberação/gestão incorreta de recursos — compatível com padrões de use-after-free ou double-free em drivers gráficos, comuns nessa família de CVEs do DXGKRNL divulgadas em 2018.

Como o DXGKRNL opera em modo kernel e expõe superfícies de IOCTL e handles de objetos gráficos (surfaces, contextos, sync objects) a chamadas vindas de modo usuário, um atacante que controle a sequência de criação/destruição desses objetos pode forçar o kernel a operar sobre memória já liberada ou em estado inconsistente. Isso corrompe estruturas do kernel e pode ser convertido em execução de código arbitrário com privilégios de SYSTEM.

A Microsoft não publicou detalhes de proof-of-concept nem indicou a função exata afetada dentro do driver; a nota do fabricante é o parágrafo padrão de PoV, sem análise de código. Não há writeup técnico público detalhado nas fontes consultadas que reconstrua o fluxo exato de exploração — o que se sabe vem do próprio advisory e da classificação CWE da CISA.

O vetor de ataque é local (AV:L) e exige que o atacante já tenha capacidade de executar código no sistema com privilégios baixos (PR:L) — não é uma falha explorável remotamente nem por um usuário anônimo pela rede. Isso a coloca na categoria clássica de vulnerabilidade de escalonamento pós-exploração: útil depois que um invasor já obteve execução de código via phishing, exploit de outro componente, ou acesso físico/RDP com credenciais de baixo privilégio.

A interação com o usuário não é necessária (UI:N) e a complexidade de ataque é considerada baixa (AC:L) pela Microsoft, o que indica que, uma vez com acesso local, o exploit é determinístico e não depende de condições de corrida difíceis de reproduzir ou de engenharia social adicional. O impacto reportado é total: confidencialidade, integridade e disponibilidade altas, compatível com execução de código arbitrário em modo kernel.

O CVE está no catálogo KEV da CISA, confirmando exploração ativa observada, mas sem informação pública sobre qual malware, grupo ou campanha específica a usou — a entrada da CISA registra apenas a exigência de aplicar as atualizações do fornecedor, sem contexto adicional de threat intelligence nas fontes disponíveis.

A mitigação é aplicar as atualizações de segurança da Microsoft referentes a agosto de 2018 para as versões afetadas (Windows 8.1, Windows RT 8.1, Windows Server 2012 R2, Windows 10 e builds correspondentes, Windows Server 2016). O advisory oficial da Microsoft (MSRC) é a fonte definitiva para o KB específico de cada branch/build; os dados apurados aqui não incluem o número exato do KB, e não deve ser assumido nenhum sem confirmar no portal da Microsoft para a versão exata em uso.

Como se trata de um driver de kernel envolvido na pilha gráfica, não há uma flag de configuração ou desativação de feature que mitigue a falha sem quebrar funcionalidade — desabilitar aceleração gráfica ou o subsistema WDDM não é uma mitigação suportada nem documentada, e não deve ser tratado como paliativo confiável. O controle compensatório real é reduzir a superfície de ataque local: restringir quem consegue executar código não confiável na máquina (aplicação de menor privilégio, controle de aplicações, segmentação de contas administrativas), já que a exploração depende de acesso local prévio.

Dado o registro no KEV da CISA, para agências e ambientes sob essa obrigatoriedade o prazo de correção listado é 2022-04-18 — vale como sinal de prioridade mesmo para quem não está sob a diretiva, indicando que máquinas Windows desatualizadas nessas versões (fim de vida técnico para muitas delas) representam risco residual real caso ainda estejam em produção.

Não há assinatura de rede aplicável, pois a exploração ocorre inteiramente em modo local/kernel, sem tráfego de rede associado. Em nível de host, o sinal a procurar é uso anômalo de IOCTLs do DXGKRNL ou chamadas repetidas de criação/destruição de objetos gráficos (surfaces, contextos, sync objects) por processos que não deveriam interagir intensamente com a pilha gráfica, seguidas de crash do driver gráfico (bugcheck/BSOD) ou de elevação inesperada de um processo para SYSTEM. Nenhuma das fontes consultadas fornece um indicador de comprometimento (IOC) público específico para esta CVE — a ausência de detalhes de exploração publicados limita a criação de detecção assinada confiável; monitoramento de EDR para escalonamento de privilégio anômalo seguido de crash do driver gráfico é o proxy mais próximo disponível.