CVE-2015-1635

CVE-2015-1635 (MS15-034) é uma falha de overflow no HTTP.sys, o driver de modo kernel do Windows que processa requisições HTTP para IIS e qualquer outro serviço construído sobre essa pilha. Um único request malformado, sem autenticação, pode derrubar o sistema com BSOD de forma confirmada publicamente; a execução remota de código em contexto SYSTEM é a caracterização da Microsoft, mas nenhum PoC público demonstrou isso — o que existe e circula é negação de serviço. Está no catálogo KEV da CISA por exploração ativa confirmada, apesar de ser uma vulnerabilidade de 2015.

O problema está no parsing do cabeçalho HTTP Range pelo HTTP.sys, o driver kernel-mode que processa requisições HTTP antes de entregá-las ao IIS ou a qualquer aplicação que use a pilha HTTP nativa do Windows. Ao calcular o intervalo de bytes solicitado, o código soma valores do cabeçalho Range usando aritmética de 64 bits sem validar limites — um valor próximo de 18446744073709551615 (2^64-1) provoca overflow/underflow na rotina interna HTTP!RtlULongLongAdd, conforme identificado por pesquisadores que dissecaram o binário corrigido.

O atacante controla integralmente o valor do cabeçalho Range enviado na requisição HTTP. Como o parsing ocorre em modo kernel — não em modo usuário, como a maioria das falhas de aplicação web — um erro de aritmética ali tem potencial para corromper memória do kernel, e não apenas do processo do IIS. Isso justifica a classificação Critical/RCE da Microsoft mesmo sem prova pública de execução de código.

A pré-condição prática relevante é o cache em modo kernel do IIS estar habilitado — comportamento padrão em muitas instalações — porque o caminho de código vulnerável no processamento de Range é exercitado quando há tentativa de servir conteúdo estático a partir do cache do kernel. A Microsoft não listou fatores mitigantes adicionais no boletim.

O vetor é uma requisição HTTP direta ao serviço afetado, sem necessidade de autenticação, sem interação do usuário e sem qualquer pré-requisito de rede além de acesso à porta onde o HTTP.sys está escutando (normalmente 80/443 via IIS). Os PoCs públicos (exploit-db 36773 e 36776) seguem o mesmo padrão: uma requisição inicial a um recurso estático válido (ex.: iisstart.htm) para forçar o cache, seguida de uma segunda requisição com cabeçalho Range contendo um valor de byte final gigantesco, próximo do limite de 64 bits sem sinal.

O resultado documentado e verificável desses exploits públicos é o crash do servidor (BSOD) — negação de serviço, repetível remotamente e sem credenciais. A Microsoft afirma que a falha permite execução de código arbitrário no contexto da conta System, dado que a corrupção ocorre em modo kernel, mas essa capacidade não foi demonstrada publicamente em nenhum exploit conhecido; trate a alegação de RCE como não comprovada em PoC aberto, embora plausível dado o CVSS 9.8 atribuído e a inclusão no KEV da CISA.

A presença de módulo Metasploit e template Nuclei tornou a varredura e a exploração de DoS triviais de automatizar, o que explica a exploração ativa registrada anos após a divulgação — sistemas Windows Server 2008 R2/2012 sem patch continuam expostos a crashes remotos triviais, mesmo sem confirmação de RCE.

A correção oficial é o boletim MS15-034 (KB3042553), aplicável a Windows 7 SP1, Windows Server 2008 R2 SP1, Windows 8, Windows 8.1, Windows Server 2012 e Windows Server 2012 R2 (incluindo instalações Server Core). Não há patch separado por SKU listado além desse KB; a Microsoft não indica versões subsequentes de HTTP.sys com numeração própria — a correção é distribuída via Windows Update/KB.

Se a atualização não puder ser aplicada imediatamente, o único workaround publicado pela própria Microsoft é desabilitar o cache em modo kernel do IIS. Isso reduz a superfície porque o caminho de código vulnerável do Range é exercitado no contexto desse cache, mas tem custo real de performance — o servimento de conteúdo estático passa a depender de cache em modo usuário, mais lento sob carga.

Filtrar ou normalizar o cabeçalho Range em um proxy reverso ou WAF antes que a requisição chegue ao HTTP.sys é um controle compensatório técnico razoável (bloquear valores de range fora de limites plausíveis de tamanho de arquivo), mas não é uma mitigação validada pela Microsoft — é redução de exposição, não correção. Não existe indicação de que atualizar apenas o IIS, sem o patch de sistema operacional, resolva o problema: a falha está no driver de kernel, não no IIS em si.

Requisições HTTP com cabeçalho Range contendo valores numéricos extremos, próximos de 18446744073709551615 (2^64-1) — como no padrão 'Range: bytes=0-18446744073709551615' ou variações com offset inicial diferente — são o indicador mais direto de tentativa de exploração, e podem ser buscadas em logs de proxy, IIS ou captura de tráfego. Um sinal indireto é crash inesperado do sistema com bugcheck do kernel (BSOD) sem causa aparente em servidor web Windows nas versões afetadas, especialmente se precedido por tais requisições nos logs de acesso.

Não há assinatura única e confiável para diferenciar tentativa de DoS de eventual tentativa de RCE, já que ambas usam o mesmo vetor (cabeçalho Range malformado); a diferença estaria no efeito observado no host, não no payload de rede.