CVE-2020-0986

Falha de elevação de privilégio local no kernel do Windows, materializada no processo splwow64.exe — o thunk de 32 bits que a impressão usa em sistemas de 64 bits. Um atacante que já executa código com privilégio baixo na máquina consegue escalar até SYSTEM. Importa porque foi explorada em conjunto com um 0-day do Internet Explorer (CVE-2020-1380) em ataques reais (campanha documentada pela Kaspersky como 'Operation PowerFall') antes mesmo da correção estar disponível.

O ponto vulnerável está no mecanismo de comunicação entre processos de impressão de 32 e 64 bits no Windows. Em sistemas x64, drivers de impressão de 32 bits não rodam nativamente; o Windows usa o splwow64.exe como processo intermediário ('thunk') que recebe chamadas do driver e as repassa. Esse processo aceita ponteiros e estruturas vindos do lado que o invoca sem validar corretamente sua origem e integridade — um caso de dereferência de ponteiro não confiável / manipulação incorreta de objetos em memória (a Microsoft descreve genericamente como falha ao tratar 'objects in memory'; a CISA classifica no KEV como CWE-787, escrita fora dos limites; pesquisadores da ZDI que analisaram a falha original a trataram como untrusted pointer dereference — as duas classificações não são incompatíveis, refletem estágios diferentes da mesma cadeia de corrupção de memória).

O atacante precisa já ter capacidade de executar código no sistema com privilégio baixo (PR:L no vetor CVSS) — não é uma falha explorável remotamente sem esse pé inicial. A partir daí, ele interage com o splwow64.exe (que roda em um contexto de integridade diferente do processo chamador) manipulando os parâmetros que esse processo recebe, forçando-o a escrever ou interpretar memória sob controle do atacante. O resultado é execução de código no contexto do processo elevado, o que na prática significa sair de uma sessão de usuário comum para SYSTEM.

A exploração documentada publicamente ocorreu como parte de uma cadeia: um exploit para o Internet Explorer (CVE-2020-1380, execução remota de código via engine de scripting) dava ao atacante o primeiro acesso com privilégio de usuário a partir de uma página web maliciosa; o CVE-2020-0986 era então usado como segundo estágio para escalar de usuário comum a SYSTEM, completando o comprometimento total da máquina a partir de uma simples visita a um site. A Kaspersky identificou essa cadeia sendo usada ativamente antes da correção oficial estar publicada, o que motivou a entrada no catálogo KEV da CISA.

A vulnerabilidade também circulou como PoC pública (a referência da Zero Day Initiative/PacketStorm sobre 'splWOW64 Privilege Escalation'), reduzindo a barreira técnica para replicação por outros atores depois da divulgação.

A correção definitiva é aplicar a atualização de segurança de junho de 2020 (a data de publicação da CVE coincide com o Patch Tuesday de 09/06/2020) para as versões afetadas do Windows 10 (1903, 1909, 2004 — 32-bit, x64 e ARM64). Não localizamos nas fontes consultadas os números de KB específicos por versão; para confirmar a atualização exata aplicável a cada build, consulte diretamente o advisory do MSRC para esta CVE ou o histórico de atualizações do Windows Update para a versão em uso.

Não há um paliativo de configuração equivalente à correção: como a falha está na lógica interna do splwow64.exe ao processar dados entre processos, desabilitar ou restringir o Serviço de Spooler de Impressão reduz a superfície de ataque relacionada a impressão em geral, mas não é uma mitigação documentada especificamente para esta CVE — trate como redução de exposição, não como correção. Como a exploração real observada dependia de encadeamento com uma falha do Internet Explorer, manter esse navegador atualizado (ou fora de uso) e aplicar controles de EDR que monitorem comportamento anômalo de splwow64.exe reduzem o risco prático enquanto a atualização não é aplicada, mas não eliminam a vulnerabilidade em si.

Atualizar apenas o Internet Explorer ou o navegador não corrige o CVE-2020-0986 — é um mito relevante aqui: a falha é no kernel/subsistema de impressão do Windows, independente do vetor de entrada usado para chegar até ela.

Não há assinatura de log confiável e documentada publicamente para detectar exploração pós-fato via Event Log padrão do Windows, já que a falha ocorre em memória dentro de um processo legítimo do sistema (splwow64.exe). Como indicador comportamental, monitore relações anômalas de processo-pai/processo-filho envolvendo splwow64.exe — em especial esse processo gerando processos filhos com token elevado (cmd.exe, powershell.exe) fora do padrão normal de impressão, ou splwow64.exe sendo invocado por processos que normalmente não imprimem (como o processo de renderização do Internet Explorer, no caso da cadeia documentada pela Kaspersky). Ferramentas de EDR com telemetria de árvore de processos e integridade de token são mais úteis aqui do que assinaturas estáticas de log.