sentinel-aidefense/cve-2025-33073Rapport de recherche CVE-2025-33073
Analyse rédigée par Sentinel AI Defense. Analyse défensive uniquement — aucun exploit fonctionnel ni PoC n'est publié ici.
Une faille de contrôle d'accès inapproprié dans le client SMB Windows qui relance des techniques de réflexion NTLM censées être atténuées — permettant à un attaquant de forcer un hôte à réfléchir un contexte d'authentification à privilèges élevés sur lui-même et d'élever ses privilèges à NT AUTHORITY\SYSTEM.
📄 Article complet : https://sentinelaidefense.com/posts/cve-2025-33073-smb-reflection.html
CVE-2025-33073 est une vulnérabilité de contrôle d'accès inapproprié (CWE-284) dans le client SMB Windows. Elle permet à un attaquant authentifié d'élever ses privilèges à NT AUTHORITY\SYSTEM sur un réseau en abusant de failles dans la manière dont le client gère l'authentification forcée et la validation du nom cible (en particulier avec les enregistrements DNS marshaled et la réflexion NTLM).
Le problème relance effectivement certaines techniques de réflexion NTLM qui étaient auparavant considérées comme atténuées. Il a été corrigé par Microsoft dans les mises à jour de sécurité de juin 2025 et ajouté par la suite au catalogue CISA KEV en raison d'une exploitation active confirmée.
Affecte plusieurs éditions de Windows client et serveur, notamment :
La vulnérabilité nécessite que la cible soit jointe à un domaine ou se trouve dans un environnement où la signature SMB n'est pas appliquée côté client. Les correctifs sont disponibles via le Patch Tuesday de juin 2025.
La cause racine réside dans la gestion par le client SMB (mrxsmb.sys) de l'initialisation du contexte d'authentification et de la validation du nom cible lors de connexions SMB forcées.
Lorsqu'un attaquant force une machine victime (par exemple, via un chemin UNC, un empoisonnement LLMNR/NBNS ou des outils comme PetitPotam) à se connecter à un serveur SMB malveillant, le client effectue une authentification NTLM/Kerberos. En raison d'une validation inappropriée des informations cibles marshaled dans les enregistrements DNS, le client peut être amené à traiter la connexion distante comme une connexion locale. Cela conduit à la réflexion du contexte d'authentification (y compris les jetons à privilèges élevés comme ceux de lsass.exe s'exécutant en tant que SYSTEM) vers le système local.
La faille contourne les précédentes atténuations de la réflexion NTLM lorsque la signature SMB n'est pas appliquée. Les chercheurs l'ont décrite comme permettant une exécution de code à distance authentifiée en tant que SYSTEM dans de nombreux scénarios pratiques.
lsass.exe ou un autre processus à privilèges élevés) à initier une connexion SMB vers une infrastructure contrôlée par l'attaquant (par exemple via un lien malveillant, WebDAV ou un empoisonnement de résolution de noms).L'exploitation combine souvent des outils existants de forçage et de relais. Des PoC publics sont apparus après le correctif, avec une exploitation active confirmée plus tard en 2025.
lsass) qui initient des connexions SMB sortantes de manière inattendue.L'application de la signature SMB augmente considérablement la difficulté d'exploitation.
Consultez les avis Microsoft et le catalogue CISA KEV pour les hachages et indicateurs réseau mis à jour.
Cette vulnérabilité souligne les risques persistants dans les environnements sans politiques strictes de signature SMB.
Ce dépôt est publié à des fins défensives et éducatives uniquement. Il contient des analyses, des logiques de détection et des conseils d'atténuation. Aucun code d'exploitation fonctionnel n'est fourni. Utilisez ces informations uniquement sur les systèmes que vous êtes autorisé à tester et à défendre.
Maintenu par Sentinel AI Defense · Découvertes partagées de manière responsable dans le cadre d'une divulgation coordonnée.