Windows CNG Key Isolation Service Elevation of Privilege Vulnerability

Falha de elevação de privilégio local no CNG Key Isolation Service (KeyIso) do Windows, o serviço que isola chaves privadas em um processo SYSTEM separado para protegê-las de processos de usuário comum. Um atacante já autenticado localmente, com privilégios baixos, pode escalar para privilégios SYSTEM limitados. Está no catálogo KEV da CISA com exploração confirmada e existe PoC pública, apesar do CVSS moderado (7.0) e da complexidade de ataque classificada como alta.

A vulnerabilidade é catalogada sob CWE-591 (Sensitive Data Storage in Improperly Locked Memory). O CNG Key Isolation Service roda como processo separado com privilégios SYSTEM justamente para manter chaves criptográficas privadas fora do alcance de processos de usuário — é a peça do Windows que sustenta operações de CNG (Cryptography API: Next Generation) sem expor material de chave ao espaço de memória do processo que a solicita. CWE-591 aponta para dados sensíveis armazenados em memória que não está adequadamente bloqueada (locked), o que abre a possibilidade de esses dados serem paginados para disco ou acessados de forma indevida por outro processo ou usuário no mesmo host.

A Microsoft não publicou detalhes técnicos além da descrição genérica do MSRC ('Windows CNG Key Isolation Service Elevation of Privilege Vulnerability') e da observação da CISA de que a falha permite 'ganhar privilégios SYSTEM específicos e limitados' — não SYSTEM completo. Isso é relevante: o impacto real de uma exploração bem-sucedida pode ser mais restrito do que o C:H/I:H/A:H do vetor CVSS sugere à primeira vista, já que o vetor reflete o pior caso teórico, não necessariamente o que foi demonstrado.

O vetor CVSS (AV:L/AC:H/PR:L/UI:N) deixa claro os pré-requisitos: acesso local ao sistema (AV:L) e autenticação prévia com privilégios baixos (PR:L) — não é exploração remota nem anônima. A complexidade de ataque alta (AC:H) indica que a exploração depende de condições que não estão totalmente sob controle do atacante ou exigem preparação adicional, embora o mecanismo exato dessas condições não tenha sido detalhado publicamente pela Microsoft.

O vetor de ataque exige que o atacante já tenha uma sessão local no sistema Windows, com credenciais de baixo privilégio — não há vetor remoto nem exploração pré-autenticação. A partir daí, a interação com o CNG Key Isolation Service (que expõe funcionalidade via RPC/API local a processos de usuário) é o caminho de exploração, aproveitando a falha de proteção de memória para obter privilégios SYSTEM limitados.

A CISA incluiu a CVE-2023-28229 no catálogo KEV em 04/10/2023 (prazo de correção definido para 25/10/2023), o que confirma exploração ativa observada, embora o catálogo não classifique a falha como associada a campanhas de ransomware conhecidas ('Known To Be Used in Ransomware Campaigns: Unknown'). Há PoC pública circulando, o que reduz a barreira técnica para replicação por outros atores, mesmo com AC:H no vetor original do fornecedor.

Vale notar a divergência entre o componente temporal do CVSS publicado pela Microsoft (E:U — exploit code maturity 'Unproven/No exploit code available' — no momento da publicação em abril de 2023) e a realidade documentada meses depois pela CISA: exploração confirmada e PoC pública. Isso ilustra um padrão comum em CVEs do Patch Tuesday — a pontuação inicial do fornecedor reflete o conhecimento no momento do release, não o cenário de exploração que se desenvolve depois.

A correção é a atualização de segurança da Microsoft referente a esta CVE, distribuída via Windows Update para as versões afetadas. O advisory oficial (MSRC) lista as atualizações de segurança específicas por build/KB para cada versão de Windows 10 e Windows 11 impactada; não há aqui, nas fontes disponíveis, o número exato de KB por versão — consulte o guia de atualização do MSRC para o build correspondente ao seu ambiente antes de considerar o sistema corrigido.

A CISA recomenda, para quem não pode aplicar a atualização imediatamente, seguir mitigações específicas do fornecedor quando disponíveis ou, na ausência delas, descontinuar o uso do produto exposto — orientação genérica do catálogo KEV, não uma mitigação técnica detalhada para esta CVE específica. Como a exploração exige acesso local autenticado, controles compensatórios geridos via hardening de acesso (redução de contas com logon interativo, segmentação de estações com dados sensíveis, monitoramento de EoP) reduzem a superfície de ataque, mas não substituem o patch.

Não há indicação de mitigação via configuração (registro, GPO) documentada nas fontes consultadas — se o fornecedor publicou um workaround alternativo ao patch, ele não está refletido nas referências disponíveis aqui.

Não há assinatura de rede a monitorar, já que a exploração é local (AV:L), não remota. Em nível de host, o foco deve ser em eventos de escalonamento de privilégio anômalo envolvendo o processo do CNG Key Isolation Service (keyiso.dll / serviço KeyIso) — chamadas inesperadas de processos de usuário de baixo privilégio interagindo com o serviço, ou tokens SYSTEM concedidos a processos filhos originados de sessões de usuário padrão, são indícios a investigar via EDR/Sysmon.

As fontes disponíveis não descrevem um indicador de comprometimento específico (hash de PoC, nome de processo, entrada de log característica) associado à exploração confirmada pela CISA. Na ausência de IOC público detalhado, a defesa prática é a correlação: sistema sem o patch de abril/2023 aplicado, presença de contas de baixo privilégio com logon local, e qualquer evento de elevação de token SYSTEM fora do padrão esperado do host merece investigação.