CVE-2026-68820: Mitigação de UAF no Windows WinSock (afd.sys)

Este repositório contém um patch conceitual que demonstra a mitigação para CVE-2026-68820, uma vulnerabilidade crítica de Use-After-Free (UAF) no Windows Ancillary Function Driver para WinSock (afd.sys).

A exploração ativa desta falha permite que um atacante local autenticado acione uma condição de corrida, sequestre o fluxo de execução e eleve privilégios para SYSTEM.

A Causa Raiz

A vulnerabilidade decorre do gerenciamento inadequado do ciclo de vida dos objetos de socket durante a fase de encerramento. No estado vulnerável, afd.sys libera um buffer de contexto, mas não anula o ponteiro imediatamente. Se uma thread concorrente tentar acessar o estado do socket durante essa janela, ela acessará memória já liberada (UAF).

Arquitetura do Patch

Este patch introduz um modelo determinístico de gerenciamento de ciclo de vida:

1. Sincronização de Threads: Implementa KeAcquireSpinLock para garantir exclusão mútua durante a destruição do socket.
2. Anular-Antes-de-Liberar: Captura o ponteiro pendente, anula explicitamente o membro da estrutura (Socket->ContextBuffer = NULL) e então libera a memória.
3. Contagem de Referências Segura: Utiliza InterlockedDecrement para garantir que o objeto pai só seja destruído quando todas as referências forem eliminadas.

Aviso Legal

O Windows é um sistema operacional de código fechado. Este código é uma representação educacional das estruturas lógicas exatas e das chamadas de API do Windows Driver Model (WDM) necessárias para remediar a condição de corrida no pool do kernel.

Licença

MIT License