Win32k Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no Win32k, o subsistema gráfico/kernel do Windows, catalogada pela CISA com exploração confirmada em campo (KEV desde novembro/2021) e PoC pública disponível. O CVSS 7.8 já reflete bem o risco real: não é uma falha para invasão remota, mas para transformar um acesso local de baixo privilégio em SYSTEM — o tipo de vulnerabilidade que aparece no meio de uma cadeia de ataque, depois que o atacante já tem um pé na máquina.

A CISA classifica a falha como CWE-787 (Out-of-Bounds Write) — escrita fora dos limites de um buffer dentro do componente Win32k, o driver do kernel (win32k.sys) responsável por parte da interface gráfica do Windows. Historicamente esse componente concentra boa parte das EoPs do Windows porque expõe uma superfície grande de chamadas de sistema (syscalls) acessíveis a partir do espaço de usuário sem privilégio elevado, e processa estruturas de dados complexas (janelas, menus, objetos GDI) diretamente no kernel.

O vetor CVSS (AV:L/AC:L/PR:L/UI:N) indica que o ataque exige acesso local à máquina e privilégio baixo (PR:L) — ou seja, o atacante já precisa ter uma sessão autenticada, mesmo que com permissões limitadas. Não há interação do usuário nem complexidade de ataque elevada (AC:L). O impacto é total: confidencialidade, integridade e disponibilidade em nível alto (C:H/I:H/A:H), consistente com execução de código arbitrário em contexto SYSTEM depois de corromper memória do kernel via a escrita fora dos limites.

A Microsoft não publicou detalhes técnicos sobre o ponto exato da corrupção de memória, quais chamadas de API do Win32k estão envolvidas ou que estrutura de dados é manipulada — o advisory oficial da MSRC segue o padrão minimalista da empresa para essa classe de bug. Isso limita a análise técnica independente do que está documentado nas fontes verificadas aqui.

A exploração exige que o atacante já possua execução de código no sistema-alvo com um usuário de baixo privilégio — não é uma vulnerabilidade explorável remotamente nem via rede. O uso típico é como segundo estágio de uma intrusão: comprometimento inicial via phishing, exploração de outra falha, ou credenciais roubadas, seguido do uso deste bug do Win32k para escalar de usuário padrão para SYSTEM, dando controle total da máquina, capacidade de desabilitar defesas locais e se mover lateralmente com privilégio elevado.

A presença no catálogo KEV da CISA confirma exploração ativa observada em campo, e a existência de PoC pública reduz a barreira de reprodução — uma vez publicado o exploit, replicar a escalada de privilégio não exige pesquisa original, apenas adaptar o PoC ao alvo. O vetor de entrada anterior (como o atacante ganha o acesso local inicial) é o que normalmente determina a gravidade real do incidente; o Win32k EoP em si é a peça que converte esse acesso em controle total.

A mitigação definitiva é aplicar a atualização de segurança da Microsoft que corrige o CVE-2021-28310, referenciada no advisory oficial da MSRC (link nas fontes). A publicação em 13/04/2021 corresponde ao ciclo de atualizações de abril/2021; os números de KB específicos por versão do Windows (10 1803/1809/1909/2004/20H2, Server 2019, Server 1909 Core) devem ser confirmados diretamente no portal MSRC, pois não há detalhamento de build/KB nas fontes consultadas para esta página — evite assumir um número de patch sem checar o advisory.

Não existe mitigação de configuração conhecida e documentada que neutralize a falha sem aplicar o patch: como o bug está no kernel do subsistema gráfico usado por praticamente toda sessão interativa do Windows, não há flag de desabilitação prática nem workaround de rede (é local, não há regra de firewall ou WAF que ajude). O controle compensatório real é reduzir a superfície de acesso local — restringir quem pode logar interativamente ou via RDP na máquina, aplicar princípio de menor privilégio para contas de usuário, e monitorar/isolar sistemas expostos que ainda não receberam o patch.

Como está no catálogo KEV, organizações sujeitas à diretiva BOD 22-01 da CISA tinham prazo de remediação até 17/11/2021; para qualquer ambiente, dado o histórico de exploração confirmada e PoC pública, tratar como patch de alta prioridade mesmo hoje se algum sistema legado ainda estiver sem a correção.

Não há assinatura de rede a procurar, já que a exploração é local e ocorre dentro do kernel do Windows — não gera tráfego identificável. Os sinais mais úteis são indiretos: eventos de crash ou comportamento anômalo do processo relacionado ao win32k.sys (falhas registradas no Event Viewer, códigos de erro de sistema associados a corrupção de memória no subsistema gráfico), criação inesperada de processos com token SYSTEM a partir de uma sessão de usuário padrão, e qualquer EDR/AV com detecção comportamental para escalada de privilégio local deve ser verificado quanto a alertas correlacionados no período. Na ausência de detalhes técnicos publicados pela Microsoft sobre o mecanismo exato, não existe uma assinatura confiável e específica documentada nas fontes consultadas — a defesa prática é patching, não detecção pós-fato.