CVE-2020-1054

Falha de elevação de privilégio local no driver de modo kernel win32k.sys do Windows, que falha ao tratar corretamente objetos em memória. Um processo com privilégios baixos já em execução no sistema pode explorar a falha para rodar código em modo kernel, obtendo essencialmente privilégios de SYSTEM. Importa porque está no catálogo KEV da CISA com exploração confirmada e tem módulo Metasploit público — é peça comum em cadeias de comprometimento pós-acesso inicial.

A vulnerabilidade está no win32k.sys, o driver de modo kernel que implementa parte da API gráfica do Windows (GDI/USER). A CISA classifica a falha como CWE-787 (out-of-bounds write): o driver escreve fora dos limites de um buffer ao manipular um objeto do subsistema gráfico. O PoC público catalogado (PacketStorm) tem como título 'DrawIconEx Local Privilege Escalation', indicando que o vetor passa pela função DrawIconEx do win32k, que desenha ícones e cursores — uma superfície histórica de bugs de corrupção de memória nesse driver.

O atacante controla o objeto (ícone/estrutura relacionada) que é processado pelo kernel através dessa chamada, conseguindo forçar uma escrita fora dos limites alocados. Como win32k roda em Ring 0, uma escrita controlada nesse contexto permite corromper estruturas do kernel e, em última instância, executar código arbitrário com privilégios de SYSTEM.

O CVSS vetor (AV:L/AC:L/PR:L/UI:N) deixa claro o modelo de ameaça: exploração local, sem interação do usuário, mas exigindo que o atacante já tenha privilégios baixos (PR:L) na máquina — ou seja, não é uma falha de acesso inicial, é uma falha de escalonamento pós-comprometimento.

A Microsoft nota explicitamente que este CVE é distinto do CVE-2020-1143, publicado no mesmo boletim — outra EoP separada no win32k corrigida no mesmo ciclo, o que reforça que o driver teve múltiplos bugs de memória tratados independentemente naquele Patch Tuesday.

O uso típico é como segunda etapa de uma cadeia de ataque: o atacante já obteve execução de código com privilégios de usuário padrão — via phishing, exploração de aplicação, credencial roubada ou outro RCE — e usa esta falha para elevar de usuário padrão a SYSTEM/kernel. Não há componente de rede na exploração; é inteiramente local, executada por um processo já rodando na máquina.

A presença no catálogo KEV da CISA confirma exploração ativa observada, embora a CISA marque como 'desconhecido' se está associada a campanhas de ransomware especificamente. A existência de módulo Metasploit e PoC público (o exploit de DrawIconEx no PacketStorm) baixa a barreira técnica: grupos com capacidade de comprometimento inicial podem incorporar esta EoP sem desenvolver exploit próprio.

Complexidade de exploração é classificada como baixa (AC:L) pelo CVSS, e o resultado final — comprometimento total de confidencialidade, integridade e disponibilidade (C:H/I:H/A:H) — reflete que a execução em modo kernel dá controle irrestrito sobre o sistema, incluindo desativação de defesas, persistência e movimento lateral a partir da máquina comprometida.

A correção veio no ciclo de atualizações da Microsoft de maio de 2020 (Patch Tuesday), que trata esta e a CVE-2020-1143 relacionada. Não há números de build ou KB específicos nas fontes disponíveis aqui — aplicar as atualizações cumulativas do Windows Update correspondentes a maio de 2020 ou posteriores para as versões afetadas resolve a falha; consulte o advisory da Microsoft para o KB exato de cada branch (Windows 10 1903/1909, Windows Server correspondente).

Não há paliativo de configuração documentado que neutralize a falha sem o patch — como o bug está no driver win32k em si, não existe flag ou GPO que desative a função vulnerável sem quebrar funcionalidade gráfica do sistema. O controle compensatório real, quando patch imediato não é possível, é reduzir a superfície de acesso local: restringir quem pode executar código arbitrário na máquina (contas de usuário, RDP, aplicações que permitem upload/execução), já que a exploração depende de já ter esse pé local.

Não funciona como mitigação: soluções de antivírus/EDR genéricas não bloqueiam de forma confiável o exploit de kernel em si, embora possam detectar comportamento pós-exploração (criação de processo SYSTEM anômalo). Isolamento de rede também não mitiga, pois a falha não depende de exposição de rede.

As fontes disponíveis não trazem assinatura de log, IOC de rede ou artefato forense documentado para esta CVE especificamente. Como a exploração é local e ocorre dentro do kernel via win32k, o rastro mais provável é indireto: crashes ou eventos de erro do processo win32k/csrss.exe em logs de eventos do Windows (Application/System), ou telemetria de EDR que capture chamadas anômalas a funções gráficas (como DrawIconEx) seguidas de elevação de token para SYSTEM. Não há confirmação nas fontes de que esse padrão seja um indicador confiável e específico desta CVE — trate como hipótese de investigação, não como assinatura validada.