CVE-2015-1769

Falha de elevação de privilégio local no Mount Manager do Windows: o componente processa incorretamente symbolic links (reparse points) associados a dispositivos removíveis, permitindo que um atacante com acesso físico à máquina e uma sessão local (mesmo de baixo privilégio) grave um binário malicioso em disco e o execute com privilégios elevados ao conectar um pendrive USB especialmente preparado. Não é uma falha remota nem crítica no sentido clássico — exige proximidade física e mão-na-máquina —, mas está no catálogo KEV da CISA por ter sido explorada ativamente, o que a torna relevante para cenários de acesso físico não controlado (quiosques, estações compartilhadas, ataques de red team com acesso a portas USB).

O Mount Manager (mountmgr.sys) é o componente do kernel do Windows responsável por associar volumes a pontos de montagem e processar links simbólicos/reparse points quando um novo dispositivo de armazenamento é conectado. A vulnerabilidade, classificada pela CISA como CWE-264 (controle de acesso/permissões inadequado), está no tratamento desses symlinks: o Mount Manager confia ou processa de forma incorreta um link simbólico presente em um dispositivo USB, permitindo que o conteúdo apontado pelo link seja tratado fora do escopo de permissões esperado.

O advisory da Microsoft (MS15-085/KB3071756) resume o impacto de forma direta: um atacante insere um dispositivo USB malicioso e, através do mau tratamento do symlink, consegue escrever um binário malicioso em disco e executá-lo — em um contexto de privilégio mais alto que o da sessão que disparou a ação. O atacante controla o conteúdo do dispositivo USB (estrutura de sistema de arquivos e o symlink malformado nele contido), mas depende do Mount Manager do sistema-alvo processar automaticamente esse dispositivo ao ser conectado.

O vetor CVSS 3.1 (AV:P/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) traduz bem as pré-condições reais: AV:P exige proximidade física para inserir o dispositivo; PR:L indica que o atacante já precisa ter privilégios baixos no sistema (uma conta local, ainda que restrita) antes de explorar a falha — não é uma elevação a partir de zero acesso. UI:N significa que não é necessária interação do usuário-vítima além da própria inserção do dispositivo pelo atacante. O impacto pleno em confidencialidade, integridade e disponibilidade reflete a execução de código com privilégios elevados (tipicamente SYSTEM) alcançada pela cadeia de escrita-e-execução do binário.

A correção, segundo a Microsoft, consistiu em remover o código vulnerável do componente Mount Manager, e não em uma restrição de configuração — ou seja, o patch elimina a lógica de processamento defeituosa do symlink, não apenas adiciona uma checagem adicional.

Pré-requisito real: acesso físico à máquina-alvo (para inserir o dispositivo USB) combinado com uma sessão local de baixo privilégio já ativa ou obtenível no sistema. Não há vetor de rede, não há necessidade de interação da vítima além da conexão do dispositivo, e a Microsoft descreve o resultado final como escrita e execução de um binário arbitrário — ou seja, execução de código com privilégios superiores aos da conta usada para acionar a falha, tipicamente elevando de usuário padrão para SYSTEM.

O cenário de exploração típico é: pentest com acesso físico a estações de trabalho, ataques via 'ataque de mesa' (drop de USB em ambiente corporativo), ou qualquer contexto onde portas USB não estão bloqueadas e existe possibilidade de logon local de baixo privilégio (funcionário mal-intencionado, terceirizado, atacante com credenciais roubadas de baixo nível). É por isso que, apesar do impacto alto (C:H/I:H/A:H), o CVSS não atinge a faixa crítica — a barreira de acesso físico + credencial local restringe fortemente a superfície de exploração em massa.

A vulnerabilidade está na lista KEV da CISA desde maio de 2022 (mais de sete anos após a publicação original), sinal de que foi observada em exploração ativa em algum momento — provavelmente em campanhas que combinam acesso físico com escalonamento de privilégio local, cenário comum em movimentação lateral pós-comprometimento inicial ou em testes de intrusão física. A CISA não classifica o uso como associado a campanhas de ransomware conhecidas ('Unknown' no campo correspondente do catálogo).

A correção oficial é a aplicação da atualização de agosto de 2015 do boletim MS15-085: KB3071756 para Windows Vista SP2, Windows Server 2008 SP2, Windows Server 2008 R2 SP1, Windows 7 SP1, Windows 8, Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT e Windows RT 8.1; e KB3081436 (atualização cumulativa) para Windows 10. Sistemas fora do ciclo de suporte no momento da publicação (versões anteriores às listadas) não receberam correção e não constam como afetados apenas porque já estavam fora de suporte, não porque estivessem imunes.

Como paliativo em ambientes que não podem aplicar o patch (o que é extremamente improvável em 2024+, já que a falha tem quase dez anos): desabilitar portas USB via política de grupo, controle de dispositivos removíveis (Device Installation Restrictions) ou bloqueio físico de portas reduz a superfície de exploração, já que o vetor depende inteiramente de mídia removível. Esses controles não corrigem a falha de lógica no Mount Manager, apenas eliminam o vetor de entrega.

O mito a evitar: acreditar que desabilitar autorun/autoplay do Windows mitiga essa falha. A vulnerabilidade não depende de execução automática de conteúdo do USB — depende do processamento do symlink pelo próprio Mount Manager ao montar o dispositivo, algo que ocorre independentemente das configurações de autorun.

Não há assinatura pública ou IOC de rede aplicável, já que a exploração ocorre localmente via dispositivo USB e processamento interno do Mount Manager — não gera tráfego de rede. Em ambientes com auditoria habilitada, vale investigar eventos de instalação/montagem de dispositivos removíveis (categoria Device Install/PnP no Event Log, ou eventos do provedor Microsoft-Windows-Partition/MountMgr) correlacionados com criação inesperada de binários em diretórios privilegiados imediatamente após a inserção de um dispositivo USB por um usuário sem histórico de uso de mídia removível. Isso é uma heurística, não uma assinatura confiável — a Microsoft e a CISA não publicaram indicadores específicos de exploração para esta CVE.