Ce playbook décrit les stratégies de détection, de confinement et de remédiation pour CVE-2025-55234, une faille critique d'élévation de privilèges dans Windows SMB.
Ce playbook décrit les stratégies de détection, de confinement et de remédiation pour CVE-2025-55234, une faille critique d’élévation de privilèges dans Windows SMB.
_Par Mark Mallia
Dans le paysage actuel du cyber-risque en constante évolution, la capacité à passer d’un point d’appui à faibles privilèges à un accès de niveau SYSTEM sur un réseau interne n’est plus une simple menace théorique — c’est la manœuvre signature d’un adversaire mature. La vulnérabilité CVE‑2025‑54918 récemment divulguée dans l’authentification Windows NTLM illustre ce danger : un attaquant distant peut exploiter une faille dans le processus de négociation NTLM pour contourner la validation Kerberos et obtenir des droits administratifs complets, sans aucune interaction de l’utilisateur.
Cet article présente un chemin d’exploitation concret pour CVE‑2025‑54918, décrit ses implications pour les organisations de toutes tailles, et fournit un playbook de réponse à incident éprouvé sur le terrain utilisant Azure Sentinel et Splunk pour détecter, contenir et remédier à la menace dans les environnements cloud Azure et AWS.
Il est important de souligner que ce n’est pas un cas isolé. 2025 a vu une augmentation des vulnérabilités liées à SMB, chacune érodant le périmètre de confiance des réseaux d’entreprise. Si ce n’est pas déjà fait, consultez mon analyse approfondie de CVE‑2025‑55234, une faille critique d’élévation de privilèges Windows SMB que j’ai précédemment analysée dans Patch-the-Path: CVE-2025-55234 Detection & Defense. Ensemble, ces vulnérabilités dressent un tableau clair : les attaquants ciblent de plus en plus les protocoles d’authentification et de partage de fichiers de base pour obtenir un accès furtif et persistant.
Sévérité : 8,8 (Critique)
Composant : NTLM
Impact : Les attaquants distants peuvent élever un accès réseau à faibles privilèges jusqu’à des privilèges de niveau SYSTEM sans interaction de l’utilisateur.
Vecteur d’attaque : Réseau ; idéal pour le mouvement latéral dans les environnements d’entreprise.
NTLM (NT LAN Manager) est l’implémentation par Microsoft du protocole d’authentification Kerberos utilisé pour les ouvertures de session de domaine Windows. Un client initie une phase de « négociation », envoie un paquet défi-réponse à un contrôleur AD, reçoit un ticket, puis s’authentifie auprès du système cible. CVE‑2025‑54918 exploite une condition de concurrence subtile dans la manière dont NTLM négocie la clé de session lors de l’étape de dérivation de la clé de session. Lorsque deux demandes d’authentification sont reçues simultanément de clients distincts, la clé de session peut être écrasée par une demande malveillante qui rejoue un ticket antérieur — accordant en pratique des droits SYSTEM à un attaquant qui ne disposait que d’identifiants à faibles privilèges.
La faille est déclenchée par une chaîne SPN (Service Principal Name) spécialement conçue dans le paquet de négociation. La valeur fautive est analysée incorrectement par la routine noyau NtLmAuth, qui finit par utiliser une clé de session obsolète issue de la demande précédente au lieu d’en calculer une nouvelle. Le résultat est que la machine distante s’authentifie en tant que SYSTEM sur la cible.
| Étape | Description | Outils | Artéfacts clés |
|---|---|---|---|
| 1 | Reconnaissance et découverte – Identifier un contrôleur de domaine et collecter une liste d’utilisateurs à faibles privilèges (par ex., « user01 ») disposant d’un accès en lecture/écriture au partage SYSVOL. | BloodHound, PowerView | DC01: <IP>, DomainControllerName |
| 2 | Collecte d’identifiants – Utiliser la relecture Kerberos (via Mimikatz) pour extraire un ticket pour user01 depuis le contrôleur de domaine. | Mimikatz, PowerView | Ticket‑blob |
| 3 | Paquet NTLM forgé – Construire un paquet avec un SPN volontairement malformé qui déclenche CVE‑2025‑54918 pendant la phase de négociation. | Metasploit (module : auxiliary/windows/ntlm_bypass) | NTLM_Negotiate |
| 4 | Exécution à distance – Envoyer le paquet forgé à la machine cible X via SMB sur le port 445, l’amenant à s’authentifier en tant que SYSTEM sans interaction de l’utilisateur. | PowerView, Metasploit | TargetIP: 10.1.5.23 |
| 5 | Persistance et mouvement latéral – Créer une tâche planifiée qui exécute la charge utile de l’attaquant et étend la portée à d’autres nœuds du domaine. | PowerView, Sysinternals | ScheduledTask: « NTLM‑Bypass » |
La chaîne est entièrement autonome après l’étape 2 ; un attaquant peut passer d’un compte à faibles privilèges à SYSTEM sur n’importe quelle cible du même domaine sans aucune intervention humaine au-delà de la reconnaissance initiale.
Voici un playbook prêt à déployer pour les environnements Azure et AWS. Il couvre la logique de détection (requêtes KQL pour Sentinel ; requêtes SPL pour Splunk), les étapes de confinement et les tâches de remédiation. Le playbook suppose que vous avez déjà appliqué le dernier correctif Microsoft KB 2025‑54918 sur tous les contrôleurs de domaine.
Connecteurs de données :
Règle de détection 1 – « Contournement d’authentification NTLM détecté »
Heartbeat
| where Computer == 'DC01' or Computer startswith '10.1.'
| union (Event
| where EventID in (4624, 4648)
| extend NTLM_Negotiate = tostring(parse_json(AdditionalFields).NTLM_Negotiate))
| summarize count() by Computer, TimeGenerated, NTLM_Negotiate
| where count_ > 1 and TimeGenerated between(datetime(2025-09-15T00:00Z), datetime(2025-09-16T23:59Z))
Règle de détection 2 – « Écrasement de la clé de session »
Heartbeat
| union (SysinternalsAuditEvent
| where EventID == 4624)
| summarize count() by Computer, TimeGenerated, AuthenticationPackageName
| where AuthenticationPackageName contains 'NTLM'
| where count_ > 0 and TimeGenerated between(datetime(2025-09-15T00:00Z), datetime(2025-09-16T23:59Z))
Étapes du playbook (Azure Sentinel) :