CVE-2019-1132

Falha de elevação de privilégio local no win32k.sys, o driver do kernel do Windows que trata objetos de janela e GDI. Um atacante que já tenha código rodando com privilégios baixos na máquina pode explorar o defeito de manipulação de objetos em memória para obter execução em nível SYSTEM. Está no catálogo KEV da CISA — ou seja, há confirmação de exploração ativa —, mas o vetor é estritamente local: não é uma falha que um atacante remoto sem pé-de-apoio consiga usar por si só.

A descrição da Microsoft é deliberadamente vaga: 'o componente Win32k falha ao tratar corretamente objetos em memória'. Isso é a linguagem padrão que a Microsoft usa para uma classe de bugs de corrupção de memória no kernel — historicamente, boa parte das CVEs win32k desse período (2018-2019) são use-after-free (CWE-416) envolvendo callbacks de janela, objetos GDI ou estruturas de menu/cursor manipuladas via chamadas de sistema do subsistema gráfico. O advisory oficial da Microsoft não detalha qual estrutura específica é afetada nem o CWE exato, e não temos no material consultado uma análise técnica independente que confirme o tipo preciso de corrupção — então trate a classificação 'use-after-free' como plausível pelo padrão histórico, não como fato confirmado por esta fonte.

O que o atacante controla, na prática, é a sequência de chamadas ao win32k (via APIs de janela/GDI expostas pelo user-mode) que leva o kernel a acessar um objeto já liberado ou manipulado de forma inconsistente. Como win32k roda em contexto de kernel, uma corrupção controlada ali se traduz diretamente em execução de código com privilégios de SYSTEM, contornando qualquer restrição do token do usuário original.

O vetor de ataque é local (AV:L) e exige privilégio baixo prévio (PR:L) — ou seja, a vulnerabilidade por si só não dá acesso inicial a nada; ela é uma peça de escalonamento pós-comprometimento.

Para explorar, o atacante precisa primeiro de alguma forma de execução de código no host — uma sessão de usuário comum, um processo com poucos privilégios, ou um shell obtido por outro meio (phishing, exploit de aplicação, credencial roubada). A partir daí, ele aciona a falha no win32k através de chamadas ao subsistema de janelas/GDI para corromper o estado de um objeto em memória e forçar o kernel a executar código sob seu controle, elevando o processo a SYSTEM. Não há interação do usuário necessária além do atacante já ter uma sessão ativa (UI:N).

Esse é o padrão clássico de uso de EoPs win32k: raramente são a porta de entrada, quase sempre são o segundo estágio de uma cadeia — depois de um exploit de navegador, documento malicioso ou acesso via credencial comprometida, o operador usa a falha de win32k para sair do sandbox/contexto restrito e assumir controle total da máquina.

A presença no catálogo KEV da CISA confirma exploração no mundo real, mas o registro (adicionado em 15/03/2022, quase três anos após a publicação) não especifica campanha, grupo ou se houve uso em ransomware ('Known To Be Used in Ransomware Campaigns: Unknown'). Existe PoC pública, o que reduz a barreira para reprodução por qualquer pessoa com acesso a um endpoint vulnerável — mas construir um exploit robusto contra corrupção de memória no kernel ainda exige trabalho de engenharia, não é trivial copiar-e-colar.

A correção veio via atualização de segurança da Microsoft lançada no ciclo de julho de 2019. Não temos, nas fontes consultadas, o número exato de KB ou build por versão de Windows/Windows Server — para aplicar corretamente, confira o advisory MSRC oficial da CVE-2019-1132 e instale a atualização cumulativa correspondente à sua versão e branch de suporte.

Para sistemas fora de suporte que não recebem mais patch para essa CVE, não existe mitigação equivalente por configuração: como o defeito está no kernel do driver gráfico, não há flag de registro ou hardening documentado que neutralize a falha sem o patch. O controle compensatório real é reduzir a superfície de ataque local — impedir que usuários não confiáveis executem código arbitrário na máquina, restringir contas com logon interativo, e usar EDR para detectar escalonamento anômalo pós-exploração — mas isso mitiga o risco de exploração, não corrige a vulnerabilidade.

Não existe mitigação via WAF ou controle de borda de rede: o vetor é local, então proteções perimetrais não têm efeito sobre esta CVE especificamente.

Não há assinatura de detecção confiável documentada nas fontes consultadas. Como sinal indireto, monitore em EDR/logs locais elevação de privilégio anômala em processos que originalmente rodavam com token de usuário padrão passando a operar como SYSTEM, crashes ou eventos de falha referenciando win32k.sys, e o encadeamento típico dessas explorações: execução inicial low-priv seguida imediatamente de spawn de processo privilegiado sem passagem por UAC ou mecanismo legítimo de elevação. Sem telemetria de kernel/EDR instrumentado, a exploração tende a não deixar rastro de rede e passa despercebida em logs de eventos padrão do Windows.