PT-2022-15180 · Microsoft · Windows 11+6

Zammis Clark · Publicado 2022-01-11 · Atualizado 2026-06-12 · CVE-2022-21894

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.9

Média

Vetor base

AV:L/AC:L/Au:N/C:N/I:C/A:N

Nome do Software Vulnerável e Versões Afetadas Microsoft Windows 11 (versões afetadas não especificadas)

Descrição Uma falha de bypass de recurso de segurança permite que atacantes contornem o Secure Boot, possibilitando a instalação de bootkits UEFI, como o BlackLotus. Este problema é explorado através da implantação de arquivos binários assinados e vulneráveis na partição do sistema EFI, o que permite ao atacante registrar uma Machine Owner Key (MOK) maliciosa no MokList e nas variáveis NVRAM. Uma vez estabelecida, a ameaça pode utilizar firmware legítimo assinado pela Microsoft para iniciar um bootkit autossinado. Esse nível de persistência permite que o malware controle o processo de inicialização do sistema operacional e desative mecanismos de segurança, incluindo a Integridade de Código Protegida por Hipervisor (HVCI) e o BitLocker. O bootkit também pode implantar um carregador HTTP para se comunicar com servidores de comando e controle para executar comandos e carregar payloads adicionais. Artefatos técnicos são frequentemente depositados no caminho EFIMicrosoftBootsystem32.

Recomendações Reinstale o Windows e utilize a utilidade mokutil para remover a chave MOK maliciosa registrada. Desative os arquivos binários UEFI vulneráveis utilizados para contornar o Secure Boot. Atualize a lista de revogação DBX do Secure Boot para garantir que carregadores de inicialização assinados, porém vulneráveis, sejam bloqueados. Como medida de mitigação temporária, utilize o fwupdmgr para atualizar metadados e o firmware para verificar somas de verificação (checksums) e aplicar atualizações disponíveis.

Exploit

Correção

DoS

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2022-21894

Produtos afetados

Windows

Windows 10

Windows 11

Windows 8.1

Windows Server 2012

Windows Server 2016

Windows Server 2019

Referências · 35

• 🔥 https://github.com/Wack0/CVE-2022-21894 · Exploit
• 🔥 https://github.com/ASkyeye/CVE-2022-21894-Payload · Exploit
• 🔥 https://github.com/Wack0/batondrop_armv7 · Exploit
• https://github.com/ldpreload/BlackLotus · Nota
• https://t.me/breachdetector/214536 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-21894 · Nota de Segurança
• https://twitter.com/manelrodero/status/1886381773401018503 · Publicação no Twitter
• https://t.me/true_secator/4122 · Publicação no Telegram
• https://twitter.com/DFIR_Radar/status/2065374301318947279 · Publicação no Twitter
• https://t.me/aptreports/21991 · Publicação no Telegram
• https://t.me/aptreports/2987 · Publicação no Telegram
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21894 · Aviso do Fabricante
• https://t.me/cybersecuritytechnologies/6573 · Publicação no Telegram
• https://t.me/malwr/6662 · Publicação no Telegram
• https://t.me/aptreports/4709 · Publicação no Telegram