CVE-2019-0808

Falha de elevação de privilégio local no win32k.sys, o driver do kernel do Windows que gerencia janelas, menus e objetos gráficos. Um atacante com acesso local autenticado (mesmo com privilégios baixos) explora manuseio incorreto de objetos em memória para executar código em modo kernel, chegando a SYSTEM. Importa porque está no catálogo KEV da CISA com exploração confirmada em campo e foi documentada publicamente como parte de uma cadeia de ataque real contra usuários do Chrome no Windows.

A CVE é classificada pela Microsoft como falha de manuseio de objetos em memória no win32k, componente do kernel responsável por mensagens de janela, menus e drag-and-drop. O título do exploit público catalogado no Packet Storm ('NtUserMNDragOver Local Privilege Escalation') indica que a rotina afetada está relacionada ao processamento de arrastar/soltar em menus (drag-over de itens de menu), sugerindo uma condição de use-after-free ou type confusion (CWE-416/CWE-843) em objetos de menu/janela que o win32k mantém referenciados incorretamente durante essa operação.

O atacante controla o fluxo de mensagens de janela e o estado dos objetos de menu que dispara a operação de drag-over, forçando o kernel a operar sobre um objeto já liberado ou reinterpretado com tipo incorreto. Como o código vulnerável roda em modo kernel (Ring 0) e o win32k historicamente mistura estruturas de dados de usuário e kernel sem validação suficiente, a corrupção de memória resultante permite sobrescrever ponteiros de função ou estruturas de token de processo, elevando privilégios.

A Microsoft trata esta CVE como distinta da CVE-2019-0797, publicada no mesmo boletim — ambas são falhas de win32k EoP encontradas e corrigidas no mesmo ciclo, mas em rotinas diferentes do componente. Isso é comum em win32k: a superfície de ataque é grande (dezenas de handlers de mensagens de janela/menu processando dados controláveis pelo usuário) e vulnerabilidades semelhantes aparecem em lotes.

O vetor primário exigido pelo CVSS (AV:L, PR:L, UI:N) é execução local: o atacante precisa já ter uma sessão ou processo rodando no sistema-alvo com privilégios baixos, sem necessitar interação do usuário-vítima. Isso normalmente vem de duas formas — um atacante com uma conta local de baixo privilégio buscando escalar, ou um exploit chain onde a execução de código inicial é obtida remotamente (por exemplo via navegador) e esta CVE serve como segundo estágio para sair da sandbox e ganhar SYSTEM.

É exatamente esse segundo cenário que tornou a falha notória: pesquisadores do Google (Threat Analysis Group) reportaram, em março de 2019, uma campanha in-the-wild que encadeava uma vulnerabilidade de RCE no Chrome (CVE-2019-5786, use-after-free no FileReader) com esta falha de win32k para escapar do sandbox do navegador e executar código com privilégios de kernel no Windows. O exploit de escalonamento funcionava de forma confiável apenas contra builds mais antigos/32-bit do Windows 7, o que por si só já filtra boa parte do universo de alvos modernos — mas era suficiente para comprometer totalmente as máquinas que se encaixavam nesse perfil.

A CISA adicionou a CVE ao catálogo KEV em novembro de 2021, confirmando exploração ativa conhecida, com prazo de correção fixado para maio de 2022 para agências federais dos EUA. Não há indicação nas fontes analisadas de que a exploração tenha se tornado massiva ou automatizada em ransomware — o registro KEV marca esse campo como 'desconhecido'. Existe módulo Metasploit e PoC pública, o que baixa a barreira técnica para replicar o escalonamento uma vez que o atacante já tenha pé local no sistema.

A correção definitiva é aplicar as atualizações de segurança da Microsoft para o win32k referentes a este CVE. O advisory oficial (portal MSRC) traz a matriz completa de versões e KBs por build de Windows client e Server; não foi possível, nas fontes revisadas nesta pesquisa, extrair a lista granular de KBs específicos — antes de considerar um sistema corrigido, confirme diretamente no MSRC ou no histórico de atualizações do Windows Update para a build exata em uso, em vez de assumir cobertura por proximidade de data.

Como paliativo, não existe mitigação de configuração que neutralize a classe de falha em win32k sem desabilitar funcionalidade de interface gráfica — não há flag de registro oficialmente documentada para esta CVE específica. Em ambientes onde o patch não pode ser aplicado imediatamente, a mitigação prática é reduzir a superfície de exposição: restringir quem tem logon interativo local/RDP na máquina, já que a exploração exige execução local, e isolar navegação de internet (o vetor de entrada mais provável na cadeia observada) com sandboxing de browser atualizado — o que reduz a chance da primeira etapa do exploit chain, mas não corrige a falha de kernel em si.

O mito a descartar: atualizar apenas o navegador (fechando o CVE-2019-5786 do Chrome, por exemplo) não corrige esta CVE. Como o win32k é um componente de kernel independente do browser, qualquer outro vetor de execução de código local — malware, outra vulnerabilidade de aplicação, ou acesso físico/RDP — ainda pode disparar o escalonamento se o patch do Windows não tiver sido aplicado.

Não há assinatura de rede confiável, pois a exploração ocorre localmente dentro do kernel via mensagens de janela/menu, sem tráfego de rede distintivo por si só. Em endpoints, sinais possíveis incluem crashes ou eventos de erro do win32k.sys (BlueScreen/dumps referenciando win32k), processos de baixo privilégio criando handles/threads de token elevado imediatamente após atividade de menu/drag-and-drop anômala, e uso do módulo Metasploit ou de builds do PoC público (que podem deixar artefatos de compilação ou strings características em disco/memória). Ferramentas de EDR com telemetria de kernel e detecção de escalonamento de privilégio (mudança de token de processo sem caminho de autenticação correspondente) são o sinal mais prático de tentativa de exploração; sem esse tipo de instrumentação, a exploração tende a passar sem rastro visível em logs padrão do Windows.