CVE-2017-0147

Falha de divulgação de informação no servidor SMBv1 do Windows que permite a um atacante remoto, sem autenticação, ler trechos de memória do processo do kernel (srv.sys) através de pacotes SMB manipulados. Faz parte do lote de vulnerabilidades corrigidas pelo boletim MS17-010 (março/2017), o mesmo pacote que incluiu as falhas de execução remota de código conhecidas como EternalBlue. Importa menos pelo CVSS 7.5 isolado e mais pelo contexto: essa e as demais CVEs do MS17-010 foram a base técnica do worm WannaCry e do NotPetya em 2017, e continuam sendo escaneadas ativamente anos depois.

A falha está no tratamento de estruturas de transação SMBv1 pelo driver srv.sys no kernel do Windows. O servidor SMBv1 processa certos campos de pacotes de forma que permite ao atacante obter conteúdo de memória do processo que não deveria ser exposto — um caso clássico de CWE-200 (Information Exposure), segundo a caracterização feita por avisos de terceiros (ICS-CERT/Philips) que mapearam a CVE. Diferente das CVEs-irmãs do mesmo boletim (2017-0143 a 2017-0146 e 2017-0148, que são falhas de corrupção de memória/RCE), a 2017-0147 não corrompe estado nem executa código por si só: ela lê memória.

O atacante controla o conteúdo do pacote SMBv1 enviado ao servidor — não precisa de credenciais válidas para acionar o processamento vulnerável, dado que a negociação SMB e certas operações de transação ocorrem antes ou independentemente de autenticação completa. O impacto declarado é só confidencialidade (C:H/I:N/A:N no vetor CVSS): o atacante extrai dados de memória do kernel, que na prática servem para reconhecimento e, combinados com as falhas de RCE do mesmo lote, para viabilizar ou facilitar a exploração completa da máquina.

O valor operacional dessa CVE ficou mais evidente pelo uso público de DOUBLEPULSAR, o implante pós-exploração do arsenal do Equation Group vazado pelo grupo Shadow Brokers em abril de 2017. DOUBLEPULSAR se instala via SMBv1 explorando esse conjunto de falhas e usa transações SMB manipuladas para detectar presença prévia e executar payloads em memória — o mecanismo de transação SMB malformada que dá nome a essa família de bugs é o mesmo terreno onde a 2017-0147 se encaixa.

Vetor de rede: porta TCP 445 (SMB) ou 139 exposta, sem necessidade de autenticação prévia bem-sucedida para o processamento da requisição vulnerável — condição que torna qualquer host Windows com SMBv1 habilitado e acessível pela rede um alvo direto. Não há necessidade de configuração não padrão além de SMBv1 estar ativo, que era o padrão em todas as versões afetadas na época.

Na prática, essa CVE raramente é explorada isoladamente. Ela integra o pacote de ferramentas tornado público com o leak do Shadow Brokers: EternalBlue (RCE via CVE-2017-0144, majoritariamente) para execução de código e DOUBLEPULSAR como implante de pós-exploração que usa transações SMB do mesmo tipo cobertas por este lote de CVEs. WannaCry (maio/2017) e NotPetya (junho/2017) usaram essa cadeia para se propagar como worm em redes internas, sem interação do usuário, gerando os maiores incidentes de ransomware/wiper daquele ano.

O módulo Metasploit público (`smb_ms_17_010`, referenciado no Exploit-DB) não explora a 2017-0147 para executar código: ele a usa como sonda de detecção, verificando a resposta `STATUS_INSUFF_SERVER_RESOURCES` em uma transação PeekNamedPipe contra o pipe IPC$ com FID inválido para inferir se o patch MS17-010 está ausente — sem exigir credenciais válidas na configuração padrão do servidor. A CISA confirma exploração ativa (entrada no catálogo KEV), consistente com o volume histórico de varredura da porta 445 na Internet.

A correção é aplicar o boletim MS17-010 da Microsoft, publicado em 14 de março de 2017, que atualiza o driver SMBv1 em todas as versões afetadas. Após o WannaCry, a Microsoft também lançou patches de emergência para sistemas fora de suporte padrão (Windows XP e Server 2003), disponibilizados fora do ciclo normal — vale confirmar no portal MSRC da CVE qual KB específico se aplica à sua build, pois os números variam por versão e branch de suporte.

O paliativo real e mais eficaz quando o patch não pode ser aplicado imediatamente é desabilitar o protocolo SMBv1 por completo (via recurso opcional do Windows ou GPO) e bloquear as portas 445/139 no perímetro e entre segmentos de rede — SMBv1 é obsoleto e a maioria dos ambientes não depende dele para operação normal. Segmentação de rede que impeça acesso direto de máquinas não confiáveis à porta 445 reduz a superfície mesmo sem patch.

O que não funciona como mitigação: assumir que antivírus ou EDR detectam a exploração de forma confiável — o WannaCry mostrou hosts comprometidos mesmo com proteção ativa, porque a exploração ocorre em nível de kernel via SMB antes de qualquer verificação em user-mode ter chance de agir. Firewalls de host mal configurados que permitem tráfego SMB interno "confiável" também não mitigam, já que a maior parte da propagação histórica foi lateral, dentro do perímetro já comprometido.

Não há assinatura de rede única e confiável só para a 2017-0147 isolada, já que ela compartilha o mesmo caminho de código de transação SMBv1 malformada usado pelas demais CVEs do MS17-010 e por DOUBLEPULSAR. Na prática, a detecção é feita no nível do conjunto: monitorar tráfego anômalo na porta 445/139 (volume alto de conexões SMB entre hosts que normalmente não se comunicam), IDS/IPS com assinaturas conhecidas para EternalBlue e para o handshake de detecção do DOUBLEPULSAR (opcode de transação PeekNamedPipe com FID=0 contra IPC$), e varredura ativa dos próprios hosts com ferramentas de verificação de patch (o próprio módulo Metasploit de detecção, `auxiliary/scanner/smb/smb_ms_17_010`, serve como verificação — resposta `STATUS_INSUFF_SERVER_RESOURCES` indica ausência do patch). Logs de host que mostrem SMBv1 habilitado e acessível externamente já são sinal de exposição, independente de tentativa de exploração confirmada.