CVE-2025-24071 - إثبات المفهوم لثغرة انتحال مستكشف ملفات Windows

نظرة عامة

CVE-2025-24071 هي ثغرة انتحال في مستكشف ملفات Windows تسمح لمهاجم غير مصادق بكشف معلومات حساسة عبر الشبكة. تنشأ الثغرة بسبب الثقة الضمنية وسلوك التحليل التلقائي لملفات .library-ms في مستكشف Windows. من خلال إنشاء ملفات أرشيف خبيثة (مثل RAR/ZIP) تحتوي على ملفات .library-ms بمسارات SMB مضمّنة، يمكن للمهاجم تشغيل طلب مصادقة SMB عند الاستخراج، مما قد يكشف تجزئة NTLM الخاصة بالمستخدم.

• معرف CVE: CVE-2025-24071
• الخطورة: متوسطة (درجة CVSS v3.1 الأساسية: 6.5)
• ناقل الهجوم: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
• CWE: CWE-200 - كشف المعلومات الحساسة لجهة غير مصرح لها
• تاريخ النشر: 11 مارس 2025
• آخر تحديث: 16 أبريل 2025

الأنظمة المتأثرة

تؤثر الثغرة على إصدارات Windows التالية:

• Windows 10 (الإصدارات 1607، 1809، 21H2، 22H2)
• Windows 11 (الإصدارات 22H2، 23H2، 24H2)
• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019
• Windows Server 2022
• Windows Server 2025

للحصول على قائمة شاملة بالأنظمة المتأثرة، راجع Microsoft Security Update Guide.

تفاصيل الاستغلال

يمكن للمهاجم استغلال هذه الثغرة عن طريق:

1. إنشاء ملف .library-ms بمسار SMB خبيث.
2. تضمين ملف .library-ms داخل أرشيف RAR أو ZIP.
3. توزيع الأرشيف على المستخدم المستهدف.
4. عند الاستخراج، يقوم مستكشف Windows تلقائيًا بمعالجة ملف .library-ms، مما يبدأ طلب مصادقة SMB إلى خادم المهاجم.
5. يمكن أن تؤدي هذه العملية إلى كشف تجزئة NTLM الخاصة بالمستخدم.

تستفيد هذه الطريقة من سلوك مستكشف Windows في التعامل مع ملفات .library-ms وآلية مصادقة بروتوكول SMB.

إثبات المفهوم

يحتوي هذا المستودع على إثبات مفهوم يوضح الثغرة، وفي هذه الحالة رفع الملف عبر smb:

• exploit.py: برنامج نصي لإنشاء ملف .library-ms خبيث وتعبئته في أرشيف ZIP.

الاستخدام:

python exploit.py --ip $IP --filename payload --share share-name

أولاً، نقوم بإنشاء الحمولة باستخدام exploit.py الخاص بنا

في علامة تبويب أخرى، نعدّ المستمع الخاص بنا الذي سيستقبل التجزئة

بعدها نرفع الملف وننتظر حتى يقوم شخص ما بفتحه

أخيرًا، بعد فتحه نستقبل تجزئة المستخدم