CVE-2025-29824

Nome do Software Vulnerável e Versões Afetadas Microsoft Windows Common Log File System (CLFS) Driver (versões afetadas não especificadas)

Descrição Existe um problema no driver Windows Common Log File System (CLFS) onde a memória é utilizada após ter sido liberada. Esta falha permite que um invasor local autorizado eleve seus privilégios para o nível SYSTEM. O problema é causado por uma condição de corrida (race condition) entre os manipuladores IRP MJ CLEANUP e IRP MJ CLOSE, envolvendo o ponteiro FsContext2.

A exploração no mundo real foi observada por operadores de ransomware, incluindo o grupo RansomEXX e atores associados ao grupo Storm-2460. Nessas tentativas, um backdoor modular residente em memória chamado PipeMagic foi implantado. A cadeia de execução envolveu o uso do certutil para baixar um payload e do MSBuild para descriptografá-lo e executá-lo na memória. Os invasores utilizaram a função NtQuerySystemInformation para obter endereços do kernel e a função RtlSetAllBits dentro do kernel para habilitar todos os privilégios do processo ao corromper a estrutura EPROCESS. Para interagir com o driver clfs.sys vulnerável, os invasores criaram um arquivo específico em C:ProgramDataSkyPdfPDUDrv.blf. Após a elevação de privilégios, o payload foi injetado no winlogon.exe, procdump.exe e dllhost.exe para roubar credenciais da memória do processo LSASS e criptografar arquivos.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.