CVE-2015-1701

Falha de elevação de privilégio local no win32k.sys, o driver de modo kernel que trata objetos gráficos no Windows. Um processo já em execução no sistema, com sessão local ativa, consegue manipular objetos em memória do kernel para rodar código com privilégios de SYSTEM. Importa porque foi usada em ataque real documentado pela FireEye em abril de 2015 (atribuído à campanha associada a APT28/Sednit) como segundo estágio de uma cadeia de exploração, e está no catálogo KEV da CISA — mas o CVSS de 7.8 já reflete corretamente que ela não é explorável remotamente nem por usuário anônimo.

O componente vulnerável é win32k.sys, o driver de modo kernel responsável pela interface gráfica e gerenciamento de janelas/desktop no Windows. A Microsoft descreveu a correção apenas como 'corrigir como o driver de modo kernel trata objetos em memória', sem detalhar publicamente se é use-after-free, type confusion ou outro tipo de corrupção — a CISA classifica a falha sob CWE-264 (gerenciamento impróprio de permissões/privilégios), categoria genérica para elevação de privilégio.

O atacante controla o comportamento de uma aplicação local maliciosa que interage com objetos do subsistema gráfico de forma a corromper estruturas internas do kernel, conseguindo em seguida executar código arbitrário em modo kernel. Não há, nas fontes disponíveis, descrição de função ou estrutura de dados específica — apenas confirmação de que a exploração funciona contra os drivers win32k das versões listadas no boletim.

O pesquisador hfiref0x publicou exploit funcional completo (projeto CVE-2015-1701, binários Taihou32/Taihou64) que demonstra a técnica de exploração de ponta a ponta, servindo como referência técnica mais detalhada disponível publicamente além do que a Microsoft divulgou.

Pré-requisito central, confirmado pela própria Microsoft: o atacante precisa de credenciais de logon válidas e capacidade de executar código localmente no sistema (interativamente ou via outra vulnerabilidade que já tenha dado execução de código). Não é explorável remotamente nem por usuário anônimo — é estritamente uma escalada de privilégio local (AV:L no vetor CVSS confirma isso).

O padrão de uso observado no mundo real é em duas etapas: primeiro um exploit de outra vulnerabilidade (no caso documentado pela FireEye, ligado a Adobe Flash) entrega execução de código com privilégios baixos/sandboxed; depois CVE-2015-1701 é usada para pular de 'usuário comum ou sandbox' para SYSTEM. O caso do advisory KL-001-2020-002 (Cellebrite UFED) reforça esse padrão fora do contexto de APT: um atacante com acesso físico a um desktop restrito escapa da restrição via um diálogo de certificado Wi-Fi (falha distinta, CVE-2020-12798) para obter um prompt de comando sem privilégios, e só então aplica o exploit de CVE-2015-1701 para virar SYSTEM — mostrando que a técnica continuou reutilizável anos depois em sistemas Windows embarcados não corrigidos.

Existem múltiplos artefatos públicos maduros: código-fonte e binários compilados do exploit de hfiref0x (espelhados no Exploit-DB), e um módulo Metasploit (exploit/windows/local/ms15_051_client_copy_image). Isso baixa a barreira de exploração para qualquer atacante que já tenha um ponto de apoio local no sistema — não é necessário desenvolver exploit próprio.

A correção oficial é o boletim MS15-051 / KB3057191, lançado em 12 de maio de 2015. A Microsoft não publicou workaround ou configuração paliativa nesse boletim — a única ação recomendada é aplicar a atualização.

O problema prático hoje é que todas as versões afetadas (Windows Server 2003, Vista, Server 2008 SP2, e as demais listadas no boletim) estão fora do ciclo de vida de suporte padrão há anos. Para sistemas legados que ainda rodam essas versões sem contrato de suporte estendido, não há patch disponível por canais normais — a mitigação real passa por isolar esses hosts de rede (sem acesso de logon local para usuários não confiáveis), reduzir superfície de logon interativo (RDP/Terminal Services), ou substituir o sistema operacional. Restringir quem pode fazer logon local ou executar código arbitrário no host neutraliza o vetor, já que a falha exige justamente essa capacidade como pré-condição.

Não há mitigação eficaz baseada em WAF ou controle de rede, porque a exploração ocorre inteiramente no host, sem tráfego de rede envolvido no ataque em si.

Não há assinatura pública de detecção específica documentada para exploração de CVE-2015-1701 em si — a CISA classifica a falha genericamente sob CWE-264 sem indicadores técnicos adicionais. Como IOC indireto, os binários do PoC público de hfiref0x (Taihou32.exe/Taihou64.exe) têm hashes conhecidos e podem ser buscados em endpoints, e o módulo Metasploit ms15_051_client_copy_image gera comportamento característico de execução local que EDRs modernos tendem a sinalizar como manipulação suspeita de objetos gráficos/kernel. A FireEye documentou a campanha associada ao uso desse exploit em abril de 2015, mas o conteúdo lido não detalha assinaturas de rede ou de log específicas para a exploração do kernel em si — na ausência de patch aplicado, monitorar chamadas anômalas a APIs de win32k por processos não administrativos é o único sinal indireto plausível.