A Microsoft liberou correções para CVE‑2025‑29970, um use‑after‑free no driver Brokering File System (bfs.sys) que pode permitir escalonamento local de privilégios em sistemas Windows com sandboxes ativos.
Contexto técnico
A vulnerabilidade reside na lógica de desalocação da estrutura DirectoryBlockList do bfs.sys. Código vulnerável deallocava o head de uma lista ligada enquanto ainda iterava entradas restantes, criando um clássico cenário de use‑after‑free quando políticas eram removidas via IOCTL BfsProcessDeletePolicyEntryRequest.
Escopo e gravidade
Pesquisadores que documentaram o bug relataram CVSS em ~8.8 (High) e que a falha afeta versões Windows 11 e Server 2022+. O componente BFS é usado para gerenciar operações de arquivo, pipe e registro de aplicações isoladas (AppContainer/AppSilo), cenários comuns em ambientes empresariais que usam sandboxes para isolar código potencialmente não confiável.
Requisitos de exploração
Exigências práticas para exploração incluem a capacidade de impersonar um processo com capacidades de token AppSilo, criar entradas de política no sistema e executar ciclos rápidos de adição/remoção via IOCTL para forçar a reutilização de memória liberada. Acesso ao dispositivo BFS aparenta estar disponível apenas para processos de Medium Integrity Level, o que restringe, mas não elimina, o risco.
Impacto e recomendações
- Atualizar máquinas Windows para as atualizações fornecidas pela Microsoft que corrigem a desalocação (separando o loop de desalocação em função dedicada BfsCloseRootDirectory).
- Monitorar tentativas de acesso ao dispositivo BFS por processos de integridade média e alertar para padrões de IOCTL incomuns que adicionem e removam políticas rapidamente.
- Considerar a restrição de execução de aplicações não confiáveis em sandboxes até que patches sejam aplicados, especialmente em ambientes corporativos que dependem de isolamento de Win32.
Observações
Os pesquisadores ressaltaram que, embora testes iniciais não tenham levado a crashes imediatos em todos os cenários, ciclos sustentados de exploração podem provocar falhas fatais em bfs.sys (STOP 0x00000050). A correção já foi publicada; equipes de segurança devem priorizar aplicação em estações de trabalho e servidores que usam recursos de isolamento de aplicativos.