CVE-2025-26633 - Microsoft Management Console (.msc) EvilTwin للتصعيد المحلي للامتيازات (PoC)

ثغرة يوم الصفر وقت الإفصاح (مارس 2025) – تم استغلالها بنشاط في البرية من قبل Water Gamayun APT
للاستخدام المصرح به فقط في اختبار الأمن والبحث

تفاصيل الثغرة الأمنية

• عنوان الاستغلال: Microsoft Management Console (MMC) - التصعيد المحلي للامتيازات / تنفيذ كود تعسفي عبر ملف MSC من نوع EvilTwin
• CVE: CVE-2025-26633
• CVSS v3.1: 7.8 (High) – AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• الأنظمة المتأثرة:
  • Windows 10 (جميع الإصدارات)
  • Windows 11 (جميع الإصدارات)
  • Windows Server 2016 – 2025
    → الأنظمة غير المحدَّثة قبل تحديثات مارس 2025 (Patch Tuesday)
• تم التصحيح في: تحديثات مارس 2025 (مثل KB5053602 والإصدارات الأحدث)
• الاكتشاف والإفصاح: تم التنسيق عبر Zero Day Initiative
• نشرة ZDI: ZDI-25-150
• نشرة Microsoft: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-26633

المؤلف

• Mohammed Idrees Banyamer
  الأردن | باحث أمني
  Instagram: @banyamer_security
  GitHub: https://github.com/mbanyamer

إثبات المفهوم

يحتوي هذا المستودع على استغلال لإثبات المفهوم يوضح تنفيذ أوامر تعسفية عبر ملف .msc خبيث (ملحق MMC).

عندما يفتح مستخدم بصلاحيات منخفضة ملف .msc المُعدَّل باستخدام mmc.exe، يتم تنفيذ إجراء RunCommand المضمّن بصلاحيات المستخدم — مما يسمح بحركة جانبية بعد الاستغلال أو تصعيد الامتيازات في سلاسل هجوم معينة.

يقوم إثبات المفهوم الحالي بصمت بإنشاء حساب مسؤول محلي:

• اسم المستخدم: hacker
• كلمة المرور: P@ssw0rd123!

الاستخدام

python3 cve-2025-26633_poc.py