sentinel-aidefense/cve-2025-33073CVE-2025-33073 Forschungsbericht
Analysebericht von Sentinel AI Defense. Nur defensive Analyse – hier wird kein funktionierender Exploit oder PoC veröffentlicht.
Ein Fehler bei der Zugriffskontrolle im Windows SMB Client belebt NTLM-Reflection-Techniken wieder, die als entschärft galten – ein Angreifer kann einen Host dazu bringen, einen hochprivilegierten Authentifizierungskontext auf sich selbst zu reflektieren und so zu NT AUTHORITY\SYSTEM zu gelangen.
📄 Vollständiger Bericht: https://sentinelaidefense.com/posts/cve-2025-33073-smb-reflection.html
CVE-2025-33073 ist eine Schwachstelle durch unzureichende Zugriffskontrolle (CWE-284) im Windows SMB Client. Sie ermöglicht einem authentifizierten Angreifer, über ein Netzwerk Privilegien zu NT AUTHORITY\SYSTEM zu eskalieren, indem er Fehler in der Verarbeitung erzwungener Authentifizierung und der Validierung von Zielnamen ausnutzt (insbesondere bei gemarshallten DNS-Einträgen und NTLM-Reflection).
Das Problem belebt bestimmte NTLM-Reflection-Techniken wieder, die zuvor als entschärft galten. Microsoft hat es im Juni 2025 im Rahmen der Sicherheitsupdates behoben; aufgrund bestätigter aktiver Ausnutzung wurde es später in den CISA-KEV-Katalog aufgenommen.
Betrifft mehrere Windows-Client- und Servereditionen, darunter:
Die Schwachstelle erfordert, dass das Ziel in einer Domäne eingebunden ist oder sich in einer Umgebung befindet, in der SMB-Signierung clientseitig nicht erzwungen wird. Patches sind über den Patchday im Juni 2025 verfügbar.
Die Grundursache liegt in der Behandlung der Initialisierung des Authentifizierungskontexts und der Validierung von Zielnamen durch den SMB-Client (mrxsmb.sys) während erzwungener SMB-Verbindungen.
Wenn ein Angreifer ein Opfersystem (z. B. über UNC-Pfade, LLMNR/NBNS-Poisoning oder Tools wie PetitPotam) dazu zwingt, sich mit einem bösartigen SMB-Server zu verbinden, führt der Client eine NTLM-/Kerberos-Authentifizierung durch. Aufgrund einer unzureichenden Validierung marshallter Zielinformationen in DNS-Einträgen kann der Client dazu gebracht werden, die Remote-Verbindung als lokale Verbindung zu behandeln. Dies führt zur Reflexion des Authentifizierungskontexts (einschließlich hochprivilegierter Token, etwa von lsass.exe, das als SYSTEM läuft) zurück an das lokale System.
Der Fehler umgeht frühere NTLM-Reflection-Mitigationen, wenn SMB-Signierung nicht erzwungen wird. Forscher beschreiben ihn als Möglichkeit zur authentifizierten Remote-Codeausführung als SYSTEM in vielen praktischen Szenarien.
lsass.exe oder einen anderen hochprivilegierten Prozess), eine SMB-Verbindung zu einer vom Angreifer kontrollierten Infrastruktur aufzubauen (z. B. über einen bösartigen Link, WebDAV oder Namensauflösungs-Poisoning).Die Ausnutzung wird oft mit vorhandenen Tools für Coercion und Relay kombiniert. Nach dem Patch erschienen öffentliche PoCs; aktive Ausnutzung wurde später im Jahr 2025 bestätigt.
lsass), die unerwartet ausgehende SMB-Verbindungen initiieren.Die Erzwingung von SMB-Signierung erhöht die Hürde für die Ausnutzung erheblich.
Konsultieren Sie Microsoft-Sicherheitshinweise und den CISA-KEV-Katalog für aktualisierte Hashes und Netzwerk-Indikatoren.
Diese Schwachstelle verdeutlicht die anhaltenden Risiken in Umgebungen ohne strenge SMB-Signierungsrichtlinien.
Dieses Repository wird ausschließlich zu defensiven und Bildungszwecken veröffentlicht. Es enthält Analysen, Erkennungslogik und Mitigationshinweise. Es wird kein funktionierender Exploit-Code bereitgestellt. Verwenden Sie diese Informationen nur auf Systemen, deren Test und Verteidigung Sie autorisiert sind.
Gepflegt von Sentinel AI Defense · Erkenntnisse werden im Rahmen koordinierter Offenlegung verantwortungsvoll geteilt.