Windows Win32k Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no win32k.sys do Windows, explorada como zero-day antes da correção de janeiro de 2021. Não dá acesso remoto: o atacante precisa já ter capacidade de executar código como usuário autenticado de baixo privilégio na máquina — o valor da falha é transformar esse acesso limitado em privilégios de kernel/SYSTEM. Está no catálogo KEV da CISA por exploração confirmada em campanhas reais, geralmente como segundo estágio de uma cadeia de exploração (após um exploit de navegador ou documento malicioso que já deu execução de código).

A vulnerabilidade é classificada pela CISA como CWE-787 (Out-of-Bounds Write) e reside no componente win32k do kernel do Windows, no código responsável por processar chamadas relacionadas ao controle de console (a função de sistema NtUserConsoleControl, indicada pelo próprio título dos advisories de terceiros como 'ConsoleControl Offset Confusion'). O problema é uma confusão de tipo/offset: o kernel calcula o deslocamento de um campo de uma estrutura assumindo um tipo de objeto, mas recebe (ou permite que o chamador manipule) um objeto de outro tipo/layout, fazendo o kernel escrever fora dos limites da estrutura esperada.

Essa escrita fora dos limites ocorre em contexto de kernel (Ring 0), então o atacante que controla o conteúdo escrito e o offset consegue corromper memória do kernel de forma previsível — o suficiente para sobrescrever um token de processo, uma estrutura de privilégio ou um ponteiro de função e, a partir daí, executar código arbitrário com privilégios de SYSTEM.

O vetor CVSS reportado (AV:L/AC:L/PR:L/UI:N) confirma que o acesso é local, a complexidade de ataque é baixa e é necessário privilégio baixo prévio (uma sessão de usuário comum), sem exigir interação de outra pessoa. Não há componente de rede na exploração em si — a superfície é inteiramente local, dentro do subsistema gráfico do kernel do Windows.

Na prática, a exploração exige que o atacante já tenha alguma forma de execução de código no sistema-alvo como usuário padrão — via phishing com anexo malicioso, exploit de outro componente (navegador, leitor de PDF, etc.) ou acesso legítimo de baixo privilégio. A partir daí, um binário local invoca a rotina vulnerável no win32k, provoca a confusão de offset e usa a escrita fora dos limites para corromper uma estrutura de kernel que resulta em elevação para SYSTEM. Não há autenticação de rede envolvida nem interação de vítima adicional além do estágio inicial de acesso.

O uso real relatado e catalogado pela CISA como exploração ativa reforça que esta CVE foi tratada como zero-day: grupos de ameaça a utilizaram antes da disponibilidade do patch como componente de escalonamento de privilégio dentro de cadeias de ataque mais amplas — não como vulnerabilidade isolada de acesso inicial. Isso explica o campo temporal do CVSS (E:F, exploit funcional; RC:C, relato confirmado): existe exploit funcional documentado, e módulos de exploração (incluindo Metasploit) e PoCs públicas tornaram a técnica replicável mesmo fora do grupo original.

O impacto final é elevação completa de privilégio no host afetado: controle total do sistema operacional a partir de uma sessão de usuário comum, o que é crítico em qualquer cenário onde o atacante já obteve pé inicial (endpoint corporativo, servidor multiusuário, ambiente de terminal compartilhado) e precisa se mover de usuário limitado para administrador/SYSTEM.

A mitigação real é aplicar a atualização de segurança da Microsoft que corrige a CVE-2021-1732, distribuída no ciclo de Patch Tuesday de janeiro de 2021, cobrindo as versões de Windows 10 e Windows Server 2019 listadas como afetadas (1803, 1809, 1909, 2004, 20H2, Server 2019 e variantes Server Core). A CISA determinou prazo de correção até 17/11/2021 para o KEV, com a ação recomendada sendo apenas 'aplicar atualizações conforme instruções do fornecedor' — não existe workaround de configuração publicado pelo fornecedor.

Não há flag, GPO ou desativação de componente que neutralize a falha sem quebrar a interface gráfica do sistema, já que win32k é o subsistema que sustenta toda a renderização de janelas e console do Windows — não é um componente opcional em desktops/servidores com GUI. Controles compensatórios reais, para ambientes que não conseguem atualizar imediatamente, são reduzir a superfície de acesso local (restringir quem pode fazer logon interativo/RDP na máquina, aplicar least privilege para evitar que contas comuns rodem código arbitrário) e monitoramento de EDR para elevação de token anômala — mas isso reduz probabilidade de exploração, não elimina a vulnerabilidade.

O mito a descartar: como é uma falha local (AV:L), muita gente subestima a urgência achando que só importa se o atacante já tem shell. Isso é exatamente o cenário mais comum de ataque real — pós-exploração e movimento lateral —, motivo pelo qual está no KEV e deve ser tratada com a mesma prioridade de patches remotos em qualquer inventário com contas de usuário padrão.

Não há assinatura de rede aplicável, pois a exploração é inteiramente local dentro do kernel. Sinais úteis em endpoint incluem: crashes ou eventos de erro no win32kfull.sys/win32kbase.sys, chamadas anômalas à API NtUserConsoleControl vindas de processos que normalmente não interagem com objetos de console, e telemetria de EDR/ETW mostrando elevação de token de processo sem cadeia de privilégio legítima correspondente (ex.: processo de usuário padrão adquirindo token SYSTEM). Como PoCs e módulo Metasploit são públicos, ambientes sem patch devem tratar qualquer atividade suspeita de escalonamento local de privilégio em máquinas Windows nas versões afetadas como possível exploração desta CVE.