CVE-2008-4250

Falha de buffer overflow no Server service do Windows (netapi32.dll), explorável remotamente e sem autenticação em Windows 2000/XP/Server 2003 via requisição RPC malformada durante a canonicalização de caminho de rede. É a vulnerabilidade que virou sinônimo do worm Conficker/Downadup, que infectou milhões de máquinas a partir de novembro de 2008 e ainda aparece em varreduras de redes legadas isoladas hoje.

O bug está no tratamento de mensagens RPC pelo Server service, especificamente na rotina que canonicaliza caminhos de rede (a função é normalmente referida como NetprPathCanonicalize, dentro do netapi32.dll, exposta via named pipe SMB). Um caminho UNC malformado, com sequências de travessia (tipo múltiplos "..") construído para confundir a lógica de normalização, faz a rotina copiar dados para um buffer de pilha sem respeitar seus limites — um overflow de pilha clássico (CWE-121/CWE-787).

O atacante controla o conteúdo do parâmetro de path enviado dentro da chamada RPC. Como a corrupção ocorre na pilha do processo do Server service, que roda como SYSTEM, um exploit bem construído consegue desviar o fluxo de execução e rodar código arbitrário com privilégios de sistema — sem qualquer interação do usuário e, nas versões mais antigas, sem autenticação.

A superfície de exposição varia por versão. Em Windows 2000, XP e Server 2003 o caminho RPC vulnerável é acessível anonimamente, o que tornou a falha "wormable" e motivou a classificação Crítica. Em Vista e Server 2008, mudanças no modelo de RPC exigem mais contexto para alcançar o código vulnerável, reduzindo a classificação da Microsoft para Importante. No Windows 7 Pre-Beta — que ainda não era release pública — a Microsoft afirma explicitamente que o caminho vulnerável só é alcançável por usuários já autenticados, o que muda completamente o perfil de risco nessa plataforma.

O vetor é rede: portas TCP 139 e 445 (SMB/named pipes, que carregam o RPC). Em Windows 2000 SP4, XP SP2/SP3 e Server 2003 SP1/SP2, a exploração não exige autenticação nem configuração fora do padrão — basta acesso de rede ao serviço, o que é o cenário mais comum em redes internas com compartilhamento de arquivos habilitado. Essa combinação (sem autenticação, serviço ligado por padrão, exposto em qualquer LAN) é o motivo do CVSS 9.8 e da adoção em massa por malware automatizado.

Na prática, a Microsoft já registrou exploração ativa por um trojan (Gimmiv.A) antes mesmo da divulgação pública do patch, em outubro de 2008. Semanas depois, a falha se tornou o vetor primário de propagação do worm Conficker/Downadup, que combinava exploração direta via RPC com dicionários de senha para SMB e infecção via mídia removível, alcançando milhões de hosts globalmente — um dos maiores incidentes de worm desde Blaster/Sasser.

Em Vista, Server 2008 e no Windows 7 Pre-Beta o requisito de contexto RPC autenticado ou de rede não anônima eleva a barreira de exploração, o que explica por que o worm afetou desproporcionalmente sistemas mais antigos (2000/XP/2003) — ainda hoje presentes em ambientes industriais e legados sem segmentação de rede.

A correção definitiva é aplicar a atualização KB958644 referenciada no boletim MS08-067, disponível para cada combinação específica de sistema operacional e service pack listada pela Microsoft (Windows 2000 SP4; XP SP2/SP3 e x64; Server 2003 SP1/SP2, x64 e Itanium; Vista e Vista SP1, incluindo x64; Server 2008 32-bit/x64/Itanium). Não existe substituto real para o patch: a falha é de corrupção de memória, e nenhuma configuração de aplicação evita a exploração se o serviço vulnerável estiver acessível.

Se o patch não puder ser aplicado imediatamente, o próprio boletim recomenda bloquear ou restringir acesso às portas 139/tcp e 445/tcp a partir de redes não confiáveis, incluindo a Internet — isso reduz a superfície externa mas não protege contra propagação lateral dentro de uma rede interna já comprometida ou sem segmentação. Desabilitar o Server service é um paliativo mais radical, com custo real: elimina compartilhamento de arquivos e impressoras via rede, o que quebra funcionalidade em ambientes que dependem de SMB.

Firewall perimetral por si só não é mitigação completa contra Conficker e variantes, porque o worm também se propaga por compartilhamentos de rede com credenciais fracas e por mídia removível — bloquear só a porta RPC não neutraliza esses outros vetores em sistemas já vulneráveis internamente.

Sistemas de IDS/IPS com assinaturas voltadas a MS08-067 detectam requisições RPC malformadas endereçadas ao Server service em tráfego SMB nas portas 139/445; assinaturas desse tipo foram amplamente publicadas em 2008 logo após a divulgação. Como indicador indireto de exploração bem-sucedida por Conficker/Downadup, procure varredura em massa de host para host na porta 445, criação de tarefas agendadas incomuns, bloqueio de resolução DNS para domínios de fornecedores de segurança e tráfego de rede para domínios gerados algoritmicamente (DGA) — características documentadas do worm. Não há sinal de rede totalmente confiável isoladamente, porque o payload de exploração pode ser embutido em tráfego SMB que se assemelha a operações legítimas de compartilhamento de arquivos.