A Microsoft corrigiu uma vulnerabilidade crítica de condição de corrida que afetava seu driver Minifiltro de arquivos em nuvem do Windows em outubro de 2025.
A falha, designada CVE-2025-55680, foi originalmente descoberta em março de 2024 e representa uma preocupação significativa de segurança para sistemas que utilizam OneDrive e serviços semelhantes de sincronização em nuvem.
| Atributo | Detalhes |
| Identificador CVE | CVE-2025-55680 |
| Tipo de vulnerabilidade | Condição de corrida (TOCTOU) |
| Componente afetado | cldflt.sys (minifiltro de arquivos em nuvem do Windows) |
A vulnerabilidade existe na função HsmpOpCreatePlaceholders() do driver cldflt.sys, que gerencia a criação de arquivos de espaço reservado em diretórios de nuvem sincronizados.
Essa condição de corrida cria uma janela estreita, mas explorável, onde os invasores podem ignorar as verificações de validação de nome de arquivo e criar arquivos em qualquer lugar do sistema, alcançando efetivamente o escalonamento de privilégios.
Método de Exploração Técnica
A vulnerabilidade decorre de como o Nuvem do Windows O Minifiltro de Arquivos valida nomes de arquivos antes de criar arquivos de espaço reservado.
Quando um usuário solicita a criação de espaço reservado por meio da API CfCreatePlaceholders, o driver do kernel executa a validação para garantir que os nomes de arquivos não contenham barra invertida ou caracteres de dois pontos, uma verificação implementada após o patch CVE-2020-17136 anterior.
No entanto, existe um intervalo de tempo crítico entre esta etapa de validação e a operação real de criação de arquivo por meio de FltCreateFileEx2().
Um invasor pode explorar essa janela modificando o nome do arquivo após a validação, mas antes da criação do arquivo, transformando um nome de arquivo legítimo em uma carga útil de passagem de caminho.
Por exemplo, alterando JUSTASTRING para JUSTASTRINGnewfile.dll após a validação ser aprovada, o invasor pode explorar junções ou links simbólicos para criar arquivos em diretórios protegidos que normalmente seriam inacessíveis ao usuário.
Esta técnica permite a colocação não autorizada de arquivos em locais críticos do sistema, levando a escalação de privilégios.
O processo de exploração envolve diversas etapas cuidadosas que aproveitam o comportamento de mapeamento de memória no kernel.
Ao processar solicitações de criação de espaço reservado, o minifiltro mapeia o buffer do espaço do usuário que contém informações de espaço reservado para o espaço de endereço virtual do kernel.
Esse mapeamento cria uma região de memória compartilhada onde os aplicativos de modo de usuário podem continuar modificando os dados mesmo depois que o kernel os tiver validado.
O invasor prepara uma solicitação de criação de espaço reservado especialmente criada com um nome de arquivo benigno que passa nas verificações de validação.
Entre a rotina de validação no marcador de instrução e a chamada de criação de arquivo no marcador, o invasor modifica rapidamente a string do nome do arquivo através da região de memória mapeada, inserindo caracteres de passagem de caminho.
Se o tempo estiver alinhado corretamente, o kernel cria o arquivo usando o caminho modificado, gravando em um local arbitrário.
Como FltCreateFileEx2() é invocado sem sinalizadores de validação de link simbólico e usa atributos de identificador do kernel, a operação é concluída com privilégios elevados, ignorando os controles normais de acesso do modo de usuário, como relatado pela Exodus Intelligence.
A descoberta desta vulnerabilidade destaca os desafios contínuos na segurança dos drivers do sistema de arquivos no nível do kernel, especialmente em cenários que envolvem memória compartilhada entre o usuário e o espaço do kernel.
As organizações que executam sistemas Windows com o Minifiltro de Arquivos em Nuvem habilitado devem garantir que seus sistemas estejam totalmente atualizados com os patches de segurança de outubro de 2025 para mitigar esse risco de forma eficaz.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial em Google.