CVE-2025-26633 - Consola de administración de Microsoft (.msc) EvilTwin PoC de escalada de privilegios local

Día cero en el momento de la divulgación (marzo de 2025) – Explotado activamente en la naturaleza por Water Gamayun APT
SOLO PARA PRUEBAS DE SEGURIDAD E INVESTIGACIÓN AUTORIZADAS

Detalles de la vulnerabilidad

• Título del exploit: Microsoft Management Console (MMC) - MSC EvilTwin Escalada de privilegios local / Ejecución arbitraria de código
• CVE: CVE-2025-26633
• CVSS v3.1: 7.8 (Alta) – AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• Sistemas afectados:
  • Windows 10 (todas las ediciones)
  • Windows 11 (todas las ediciones)
  • Windows Server 2016 – 2025
    → Sistemas sin parchear antes del Patch Tuesday de marzo de 2025
• Parcheado en: actualizaciones de marzo de 2025 (p. ej., KB5053602 y posteriores)
• Descubrimiento y divulgación: coordinado a través de Zero Day Initiative
• Aviso de ZDI: ZDI-25-150
• Aviso de Microsoft: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-26633

Autor

• Mohammed Idrees Banyamer
  Jordania | Investigador de seguridad
  Instagram: @banyamer_security
  GitHub: https://github.com/mbanyamer

Prueba de concepto

Este repositorio contiene un exploit de prueba de concepto que demuestra la ejecución arbitraria de comandos a través de un archivo .msc (complemento MMC) malicioso.

Cuando un usuario con bajos privilegios abre el archivo .msc diseñado mediante mmc.exe, la acción RunCommand incrustada se ejecuta con los privilegios del usuario — lo que permite movimiento lateral posterior a la explotación o escalada de privilegios en ciertas cadenas de ataque.

El PoC actual crea silenciosamente una cuenta de administrador local:

• Usuario: hacker
• Contraseña: P@ssw0rd123!

Uso

python3 cve-2025-26633_poc.py