Microsoft · HTTP.sys
CVE-2015-1635
Microsoft HTTP.sys Remote Code Execution Vulnerability
Qué es
HTTP.sys in Microsoft Windows 7 SP1, Windows Server 2008 R2 SP1, Windows 8, Windows 8.1, and Windows Server 2012 Gold and R2 allows remote attackers to execute arbitrary code via crafted HTTP requests, aka "HTTP.sys Remote Code Execution Vulnerability."
CISA: Microsoft HTTP protocol stack (HTTP.sys) contains a vulnerability that allows for remote code execution.
Qué hacer
Apply updates per vendor instructions.
Plazo para las agencias federales de EE. UU.: 10 de agosto de 2022
- Añadida a la lista de CISA
- 10 de febrero de 2022
- Publicada
- 14 de abril de 2015
- Gravedad
- Crítica 9,8 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- >99,9% entre el 0,1% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-94
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (7)
- https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-034
- https://www.exploit-db.com/exploits/36773/
- http://www.osvdb.org/120629
- http://www.securitytracker.com/id/1032109
- http://www.securityfocus.com/bid/74013
- https://www.exploit-db.com/exploits/36776/
- http://packetstormsecurity.com/files/131463/Microsoft-Windows-HTTP.sys-Proof-Of-Concept.html
Más fallos explotados de Microsoft
| Añadido | Vulnerabilidad | Producto | Gravedad | Prob. de ataque |
|---|---|---|---|---|
| 13 oct 2026 | Command Injection | Windows | Alto 8,8 | 9,8% |
| 25 sept 2026 | Code Injection | SharePoint | Alto 8,8 | 8,2% |
| 8 sept 2026 | Link Following | Windows | Alto 7,8 | 0,4% |
| 8 sept 2026 | Heap-Based Buffer Overflow | Windows | Alto 7,8 | 0,4% |
| 26 ago 2026 | Remote Code Execution | SQL Server | Alto 8,8 | 57% |
| 18 ago 2026 | Double Free | Internet Key Exchange (IKE) Service Extensions | Crítica 9,8 | 77% |
| 18 ago 2026 | Weak Authentication | SharePoint | Crítica 9,1 | 70% |
| 11 ago 2026 | Windows Ancillary Function Driver for WinSock Use-After-Free | Windows Ancillary Function Driver for WinSock | Alto 7,0 | 0,3% |
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.