CVE-2025-24071 - Proof of Concept für eine Spoofing-Sicherheitslücke im Windows Explorer

Übersicht

CVE-2025-24071 ist eine Spoofing-Sicherheitslücke im Windows Explorer, die es einem nicht authentifizierten Angreifer ermöglicht, vertrauliche Informationen über ein Netzwerk preiszugeben. Die Sicherheitslücke entsteht aufgrund des impliziten Vertrauens und des automatischen Parsing-Verhaltens von .library-ms-Dateien im Windows Explorer. Durch das Erstellen bösartiger Archivdateien (z. B. RAR/ZIP), die .library-ms-Dateien mit eingebetteten SMB-Pfaden enthalten, kann ein Angreifer beim Extrahieren eine SMB-Authentifizierungsanforderung auslösen und möglicherweise den NTLM-Hash des Benutzers offenlegen.

• CVE-ID: CVE-2025-24071
• Schweregrad: Mittel (CVSS v3.1 Basiswert: 6,5)
• Vektor: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
• CWE: CWE-200 – Offenlegung vertraulicher Informationen an einen nicht autorisierten Akteur
• Veröffentlicht: 11. März 2025
• Zuletzt aktualisiert: 16. April 2025

Betroffene Systeme

Die Sicherheitslücke betrifft die folgenden Windows-Versionen:

• Windows 10 (Versionen 1607, 1809, 21H2, 22H2)
• Windows 11 (Versionen 22H2, 23H2, 24H2)
• Windows Server 2012 R2
• Windows Server 2016
• Windows Server 2019
• Windows Server 2022
• Windows Server 2025

Eine vollständige Liste der betroffenen Systeme finden Sie im Microsoft Security Update Guide.

Details zur Ausnutzung

Ein Angreifer kann diese Sicherheitslücke ausnutzen, indem er:

1. Erstellen einer .library-ms-Datei mit einem bösartigen SMB-Pfad.
2. Einbetten der .library-ms-Datei in ein RAR- oder ZIP-Archiv.
3. Verteilen des Archivs an den Zielbenutzer.
4. Beim Extrahieren verarbeitet der Windows Explorer automatisch die .library-ms-Datei und initiiert eine SMB-Authentifizierungsanforderung an den Server des Angreifers.
5. Dieser Vorgang kann zur Offenlegung des NTLM-Hashs des Benutzers führen.

Diese Methode nutzt das Verhalten des Windows Explorers beim Umgang mit .library-ms-Dateien und den Authentifizierungsmechanismus des SMB-Protokolls.

Proof of Concept

Dieses Repository enthält einen PoC, der die Sicherheitslücke demonstriert, in diesem Fall das Hochladen der Datei über SMB:

• exploit.py: Skript zum Erstellen einer bösartigen .library-ms-Datei und zum Verpacken in ein ZIP-Archiv.

Verwendung:

python exploit.py --ip $IP --filename payload --share share-name

Zuerst erstellen wir den Payload mit unserem exploit.py

In einem anderen Tab richten wir unseren Listener ein, der den Hash empfängt

Dann laden wir die Datei hoch und warten, bis jemand sie öffnet

Schließlich, nachdem sie geöffnet wurde, erhalten wir den Hash des Benutzers