CVE-2002-0367

Falha de autenticação no subsistema de depuração do smss.exe (Session Manager) do Windows NT 4.0 e Windows 2000 permite que um usuário local sem privilégios anexe-se como depurador a um processo privilegiado e assuma seu contexto de segurança, chegando a administrador ou SYSTEM. É explorável apenas localmente, mas de forma trivial e confiável — daí o PoC público DebPloit e a entrada no catálogo KEV da CISA, mesmo décadas depois da divulgação original.

O mecanismo de depuração do Windows permite que um processo (o depurador) se conecte a outro processo em execução (o depurado) e tome controle total dele, incluindo a capacidade de fazê-lo executar código arbitrário no mesmo contexto de segurança. Isso é necessário para qualquer ferramenta legítima de debugging, mas exige que o sistema valide corretamente se quem está pedindo para 'anexar' tem privilégio para isso.

A falha está exatamente nessa validação: a autenticação da requisição de anexação ao subsistema de depuração, implementado no smss.exe, não verifica adequadamente a legitimidade do processo solicitante. Um processo sem privilégios consegue obter um handle para qualquer processo ou thread do sistema — inclusive processos rodando como SYSTEM — duplicando um handle a um processo privilegiado, técnica demonstrada pela ferramenta DebPloit. Com esse handle, o atacante controla o processo privilegiado e o instrui a executar um programa de sua escolha, que passa a correr com os privilégios do processo controlado.

Em termos de classificação, é uma falha de autenticação/controle de acesso (CWE-287 / CWE-284) na camada de IPC de depuração do kernel/subsistema de sessão, não um overflow ou corrupção de memória — o bug é lógico: a checagem de quem pode se tornar 'depurador' de um processo alheio simplesmente não impede um processo não privilegiado de fazer isso.

Pré-requisito central, que a descrição oficial e o CVSS (AV:L) deixam implícito mas o boletim da Microsoft explicita: o atacante precisa de logon interativo no sistema — console físico ou sessão de Terminal Services/RDP — e capacidade de carregar e executar código próprio (o binário DebPloit ou equivalente). Não há vetor remoto nem exploração via rede sem essa sessão local prévia.

Com essas duas condições, a exploração é direta e de baixa complexidade: o programa do atacante usa a falha de autenticação do subsistema de depuração para obter handle sobre um processo privilegiado e forçá-lo a executar um comando escolhido, que roda com privilégios de administrador ou SYSTEM. Não há interação de usuário adicional necessária e a técnica foi publicamente demonstrada em 2002 (DebPloit, por Radim 'EliCZ' Picha), o que a torna trivialmente reproduzível para quem tenha o PoC.

A Microsoft classificou o risco como 'Crítico' para estações de trabalho e terminal servers, mas 'Baixo' para servidores de internet e 'Moderado' para servidores de intranet — justamente porque boas práticas restringem logon interativo em servidores críticos. A inclusão no catálogo KEV da CISA em 2022 reflete exploração histórica confirmada e a existência de PoC público, não uma campanha ativa recente; o registro serve principalmente para forçar a descontinuação de sistemas NT4/2000 não corrigidos que ainda possam estar em uso.

A correção oficial é o patch descrito no boletim MS02-024 (KB Q320206), aplicável a Windows NT 4.0, Windows NT 4.0 Server Terminal Server Edition e Windows 2000. O boletim não lista números de build específicos além dessa referência de KB — aplique o patch indicado no boletim para a versão e service pack em uso.

Se o patch não puder ser aplicado — cenário provável hoje, já que NT4 e Windows 2000 estão fora de suporte há muito tempo — a única mitigação real é restringir rigorosamente quem pode fazer logon interativo (console ou Terminal Services) no sistema, e impedir que usuários não confiáveis carreguem e executem código arbitrário. A própria Microsoft aponta isso como fator mitigante, não como solução: reduz a superfície, não elimina a falha.

Não existe mitigação via configuração de rede, firewall ou WAF, porque o vetor é estritamente local — filtragem de tráfego não tem efeito algum sobre essa vulnerabilidade. Na prática, para ambientes atuais, a resposta correta é isolar ou desativar qualquer sistema NT4/2000 remanescente, já que ele está fora de qualquer ciclo de suporte além do patch de 2002.

Não há assinatura de log confiável e amplamente documentada para essa exploração — o evento ocorre em nível de subsistema de depuração/kernel do NT4/2000, sistemas sem a granularidade de auditoria e EDR modernos. Na ausência de instrumentação específica, os únicos indícios prováveis seriam a presença do binário DebPloit (ou variante) no disco/hash, ou comportamento anômalo de processos filhos inesperados sendo gerados por processos de sistema (como smss.exe) em sessões de usuários não administrativos — mas isso exige monitoramento de processo que raramente existe nesses sistemas legados.