CVE-2025-1868: Advanced IP Scanner & Advanced Port Scanner NTLM Leakage HTTP Tester

Kleine dockerisierte PHP-App, die einen NTLM-Handshake auslöst und die behauptete Domain, Benutzer und Workstation aus NTLM-Typ-3-Nachrichten extrahiert.

Es validiert keine Passwörter.
Es speichert keine Challenges.
Es protokolliert nur die behauptete Identität und Anfragen-Metadaten.

Dies ist nützlich, um zu bestätigen, wenn ein Scanner oder ein Fehlerbehebungs-Workflow eine ausgehende NTLM-Authentifizierung über HTTP verursacht.

Wichtig: Muss auf Host-Port 80 veröffentlicht werden. Wenn Sie es auf einem anderen Port veröffentlichen, kann die Validierung fehlschlagen.

Weitere Informationen: https://labs.itresit.es/2026/01/03/cve-2025-1868-unpatched-advanced-ip-scanner-silently-exposes-ntlm-during-scans/

1. Ausführen im Docker-Modus

./run.sh

Protokolle

tail -f data/scan.log

2. Eigenständige Bereitstellung

src/index.php ist vollständig in sich geschlossen und kann als eigenständiger Endpunkt auf jedem Webserver, der PHP ausführen kann (z.B. Apache + mod_php, Nginx + PHP-FPM, ...) ausgeführt werden.

Schnellstart für eigenständige Bereitstellungen

1. Kopieren Sie index.php in Ihr Web-Root-Verzeichnis (oder in einen dedizierten virtuellen Host), zum Beispiel:

   • Apache: /var/www/html/index.php
   • Nginx: Ihr Site-Root, bereitgestellt über PHP-FPM

2. Stellen Sie sicher, dass der Prozessbenutzer die Logdatei beschreiben kann (Standard: ../scan.log)

3. Referenzen

• https://nvd.nist.gov/vuln/detail/CVE-2025-1868
• https://www.cve.org/CVERecord?id=2025-1868
• https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2025-1868
• https://labs.itresit.es/published-vulnerabilities/