CVE-2014-1812

A funcionalidade Group Policy Preferences (GPP) do Windows permite configurar senhas de contas locais, mapeamentos de unidade, tarefas agendadas e outros itens via política de grupo, armazenando essa senha criptografada em arquivos XML no compartilhamento SYSVOL. O problema é que a chave AES usada para criptografar o campo cpassword é fixa e foi publicada pela própria Microsoft na documentação do protocolo — qualquer usuário autenticado no domínio, que por padrão tem leitura no SYSVOL, consegue ler o XML e decriptar a senha em texto claro. Importa porque é um dos achados mais recorrentes em pentests internos até hoje: GPPs antigas continuam expostas no SYSVOL muito depois do patch, entregando credenciais administrativas (muitas vezes reutilizadas em várias máquinas) para qualquer conta de domínio, sem exploit sofisticado nenhum.

A falha é classificada como CWE-255 (erro de gerenciamento de credenciais). O mecanismo: extensões de GPP (Local Users and Groups, Drive Maps, Scheduled Tasks, Services, Data Sources, Printers) permitem ao administrador definir uma senha diretamente na interface do GPMC. Essa senha é serializada em arquivos XML (Groups.xml, Drives.xml, ScheduledTasks.xml, Services.xml, DataSources.xml, Printers.xml) dentro da pasta de política correspondente no SYSVOL, no atributo 'cpassword', criptografada com AES-256 em modo CBC.

O defeito não está em uma falha de implementação da criptografia, e sim no design: a chave simétrica usada é a mesma para todas as instalações do Windows e foi documentada publicamente pela Microsoft como parte da especificação MS-GPPREF. Como a chave nunca varia por domínio, decriptar o cpassword é uma operação determinística e trivial para qualquer pessoa que tenha o valor criptografado em mãos.

O segundo componente da falha é de controle de acesso: o SYSVOL é replicado entre todos os controladores de domínio e por padrão concede permissão de leitura ao grupo 'Authenticated Users' — ou seja, qualquer conta de domínio autenticada, mesmo sem privilégios administrativos, pode navegar até a pasta Policies e ler os arquivos XML de qualquer GPO vinculada, incluindo as que contêm cpassword. A combinação de chave estática pública + leitura ampla do repositório onde a senha criptografada fica armazenada é o que torna a exploração trivial.

Pré-requisito real: uma conta de domínio autenticada com acesso de rede ao SYSVOL (qualquer usuário comum de domínio já satisfaz isso na maioria dos ambientes) e a existência de pelo menos uma GPP configurada para distribuir senha — prática comum para definir a senha do administrador local em massa em todas as estações. Sem essa GPP configurada, não há cpassword para extrair; a vulnerabilidade não afeta domínios que nunca usaram essa extensão para senhas.

A exploração consiste em enumerar o SYSVOL em busca de arquivos XML com o atributo cpassword preenchido e aplicar a rotina de decriptação AES com a chave pública conhecida — operação passiva, sem interação com o usuário-vítima e sem exigir elevação prévia. Ferramentas amplamente disponíveis automatizam essa varredura e decriptação (módulo Metasploit, scripts de post-exploitation em PowerShell, ferramentas de coleta de credenciais em engajamentos ofensivos). O resultado típico é a senha em texto claro de uma conta administrativa local que costuma ser idêntica em múltiplas máquinas do domínio, o que abre caminho direto para movimento lateral e escalação de privilégio.

A descrição oficial confirma exploração in the wild em maio de 2014, e a CVE está no catálogo KEV da CISA (adicionada em 2021-11-03), o que indica exploração continuada anos depois da divulgação — reflexo de quanto tempo GPPs legadas permanecem esquecidas no SYSVOL mesmo após a correção ser aplicada.

A Microsoft corrigiu via MS14-025 / KB2962486, que remove das interfaces do GPMC (Group Policy Management Console) a capacidade de configurar e distribuir novas senhas usando as extensões afetadas de GPP. O boletim é explícito: essa atualização por si só não elimina o risco em ambientes que já têm GPPs com senha configurada — os arquivos XML com cpassword continuam no SYSVOL até serem removidos manualmente. É necessária ação adicional: localizar e remover/reconfigurar as políticas de grupo existentes que usam essas extensões para distribuir senha.

O update está disponível apenas pelo Microsoft Download Center e Microsoft Update Catalog (não via Windows Update automático), e é relevante para: clientes com Remote Server Administration Tools (RSAT) instalado (Vista SP2, 7 SP1, 8, 8.1) e servidores com Group Policy Management configurado (Server 2008 SP2, 2008 R2 SP1, 2012, 2012 R2). Instalações Server Core não são afetadas.

Mitigação prática de longo prazo: parar de usar GPP para distribuir qualquer senha (admin local, contas de serviço, mapeamento de unidade com credencial) e migrar para uma solução que gere senha local única por máquina. Não funciona como mitigação: aplicar apenas o patch sem auditar e remover GPOs antigas — a senha continua acessível a qualquer usuário autenticado enquanto o XML permanecer no SYSVOL, independentemente da versão do Windows estar corrigida.

O sinal mais confiável não é de rede, e sim de conteúdo: varrer o SYSVOL de cada domínio em busca de arquivos Groups.xml, Drives.xml, Services.xml, ScheduledTasks.xml, DataSources.xml e Printers.xml que contenham o atributo 'cpassword' com valor não vazio — presença desse atributo indica exposição, independentemente de ter havido exploração.

Em termos de tráfego, o acesso à leitura do SYSVOL por uma conta de domínio comum é indistinguível de atividade normal de aplicação de política de grupo, então não há uma assinatura de rede confiável para exploração passada. Ferramentas de extração automatizada geram acesso SMB específico a esses arquivos XML por contas que normalmente não deveriam estar lendo objetos de GPO — monitorar esse padrão de acesso anômalo ajuda, mas não é prova definitiva de exploração, já que a leitura em si é uma operação legítima permitida por padrão.