Win32k Elevation of Privilege Vulnerability

Falha de elevação de privilégio no driver Win32k (win32k.sys), o subsistema gráfico do kernel do Windows, que permite a um processo com privilégios baixos executar código como SYSTEM. A CISA confirmou exploração ativa e incluiu a falha no catálogo KEV com prazo de correção de apenas 14 dias, um sinal forte de que já era usada em campanhas reais no momento da divulgação. O CVSS de 7.0 (e não 9+) reflete que a exploração exige acesso local prévio — não é um vetor remoto de entrada, é a peça que transforma um comprometimento inicial em controle total da máquina.

A CISA classifica a falha como CWE-787 (Out-of-Bounds Write) no componente Win32k, o driver de kernel responsável pela interface gráfica e pelo gerenciamento de janelas do Windows. O nome do artefato de prova de conceito público — 'Win32k ConsoleControl Offset Confusion' — indica que o bug envolve uma confusão de offset/tipo em uma rotina relacionada a controle de console dentro do win32k, permitindo que a escrita de memória do kernel ocorra fora dos limites esperados de uma estrutura.

O vetor CVSS (AV:L/AC:H/PR:L/UI:N) mostra as pré-condições reais: o ataque é local (o processo malicioso já precisa estar em execução na máquina-alvo), exige privilégios baixos previamente concedidos (PR:L) e não depende de interação do usuário. A complexidade de ataque é classificada como alta (AC:H), o que geralmente indica dependência de condições de timing, layout de memória ou estado específico do sistema para acionar a corrupção de forma confiável.

O impacto de confidencialidade, integridade e disponibilidade é total (C:H/I:H/A:H) porque a escrita fora dos limites no kernel permite corromper estruturas usadas para elevar o token de acesso do processo atacante, efetivamente dando a ele privilégios de SYSTEM. Vulnerabilidades em win32k com esse padrão são recorrentes no histórico do Windows justamente porque o subsistema mistura estruturas de modo usuário e modo kernel de forma complexa, criando superfícies repetidas de confusão de tipo/offset entre versões.

Na prática, esta CVE não é a porta de entrada de um ataque — é a etapa de escalação depois que um atacante já obteve execução de código com privilégios baixos na máquina, seja via phishing, exploração de outra aplicação, ou acesso de usuário padrão. Com o exploit, o processo do atacante passa de um usuário comum para SYSTEM, ganhando controle total do host, incluindo desativação de defesas, dump de credenciais e movimento lateral.

A existência de módulo Metasploit e de PoC pública baixa consideravelmente a barreira técnica para reproduzir a exploração, o que explica em parte o EPSS elevado (~0,56) e a inclusão no catálogo KEV da CISA logo em fevereiro de 2022, um mês após a divulgação — a CISA documentou exploração confirmada no mundo real, sem detalhar o ator ou a campanha específica.

O prazo de correção de 14 dias fixado pela CISA (adicionada em 04/02/2022, devida em 18/02/2022) é um dos mais curtos do catálogo, reservado normalmente a falhas já usadas ativamente em ataques com facilidade de reprodução — consistente com a disponibilidade pública de exploit funcional.

A mitigação primária é aplicar a atualização de segurança da Microsoft referente a esta CVE, publicada no ciclo de Patch Tuesday de janeiro de 2022 e catalogada no MSRC (CVE-2022-21882). O advisory oficial da Microsoft não especifica número de KB nas fontes consultadas aqui — confirme a build exata correspondente à sua versão de Windows diretamente no MSRC antes de considerar o sistema corrigido.

Não há paliativo de configuração conhecido e documentado que neutralize a falha sem o patch: como a vulnerabilidade está no próprio código do driver de kernel, desativar funcionalidades do Win32k não é uma mitigação suportada nem viável na maioria dos ambientes Windows. O controle compensatório real, para ambientes que não podem atualizar imediatamente, é reduzir a superfície de acesso local — restringir quem pode executar código arbitrário na máquina (aplicação de allowlisting, EDR com bloqueio de escalonamento de privilégio, remoção de privilégios administrativos desnecessários) — já que a exploração depende de execução local prévia.

Não confiar apenas em soluções de perímetro de rede (firewall, WAF): o vetor é local (AV:L), então esses controles não interceptam a exploração em nenhum estágio.

As fontes disponíveis (advisory da Microsoft e catálogo KEV da CISA) não publicam indicadores de comprometimento específicos, assinaturas de tráfego ou hashes associados a campanhas que exploraram esta falha — a CISA apenas confirma exploração ativa sem detalhar TTPs. Na ausência de IOC oficial, o sinal mais confiável em ambiente corporativo é monitorar escalonamentos de privilégio anômalos: processos de usuário padrão gerando tokens SYSTEM, crashes ou comportamento incomum em processos que interagem com win32k (csrss.exe, winlogon.exe, processos gráficos), e telemetria de EDR voltada a técnicas de elevação de privilégio via kernel exploits no Windows no período seguinte à divulgação (janeiro/fevereiro de 2022).