CVE-2025-47987

CVE-2025-47987: Windows CredSSP Elevation of Privilege

📌 Questo repository contiene documentazione e risorse di analisi sulla vulnerabilità CVE-2025-47987, un difetto di overflow del buffer nella regione heap (Heap-based Buffer Overflow) che interessa il protocollo Windows Credential Security Support Provider (CredSSP).

---

📝 Descrizione

La vulnerabilità consente a un attaccante locale autenticato di elevare i propri privilegi sul sistema. Il difetto è causato da una gestione inadeguata della memoria durante l'elaborazione di pacchetti specifici del protocollo CredSSP, che può comportare:

• Un overflow del buffer nell'heap
• Oppure un overflow di interi (Integer Overflow)

Identificatore: CVE-2025-47987
Tipo di vulnerabilità: Elevazione dei privilegi (EoP)
Debolezze (CWE):

• CWE-122: Heap-based Buffer Overflow
• CWE-190: Integer Overflow or Wraparound
  Gravità (CVSS 3.1): 7.8 HIGH
  Vettore: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

---

💻 Sistemi interessati

La vulnerabilità interessa un'ampia gamma di sistemi operativi Microsoft, tra cui:

• Windows 10 (versioni dalla 1507 alla 22H2)
• Windows 11 (versioni 22H2, 23H2 e 24H2)
• Windows Server: 2008, 2012, 2016, 2019, 2022, 2025

✅ Nota critica: È necessario un aggiornamento alla versione di compilazione (build) successiva a quelle indicate nel catalogo di sicurezza di Microsoft per mitigare il rischio.

🔍 Consultare la lista completa dei CPE interessati più avanti.

---

🛠️ Mitigazione e soluzione

✅ Soluzione principale:

Applicare le patch di sicurezza ufficiali distribuite da Microsoft tramite Windows Update.

• Aggiornamento ufficiale: Guida all'aggiornamento di sicurezza di Microsoft — CVE-2025-47987
• Verifica post-patch: Eseguire winver o systeminfo e confermare che la versione di compilazione supera le soglie elencate sopra.

⚠️ Non esistono soluzioni alternative efficaci (come disabilitare CredSSP), poiché comprometterebbe funzionalità critiche come Remote Desktop, WinRM e PowerShell Remoting.

---

🔍 Analisi tecnica

L'overflow si verifica all'interno del provider di supporto per la sicurezza delle credenziali (CredSSP), in particolare durante l'elaborazione delle strutture di autenticazione NTLM/Kerberos nel contesto del reindirizzamento delle credenziali (credential delegation).

Punti chiave:

• Accesso richiesto: Locale + autenticato (non remoto).
• Interazione dell'utente: UI:N → Non richiede interazione.
• Impatto: Compromissione totale di Riservatezza, Integrità e Disponibilità (C:H/I:H/A:H).
• Scenario tipico: Un attaccante con privilegi di utente standard invia una richiesta dannosa a un servizio che utilizza CredSSP (es. termsrv, lsass), corrompendo l'heap e ottenendo l'esecuzione di codice con privilegi di SYSTEM.

---

⚠️ Dichiarazione di esclusione di responsabilità

Questo contenuto è fornito esclusivamente a scopo informativo e di ricerca sulla cybersicurezza.

❌ L'uso di queste informazioni per compromettere sistemi senza autorizzazione esplicita è illegale e viola leggi internazionali (es. CFAA, Ley Orgánica de Protección de Datos, GDPR, ecc.).

✅ L'uso legittimo include: audit autorizzati, test di penetrazione etici, sviluppo di difese, rilevamento IDS/EDR e formazione accademica supervisionata.

Fonti ufficiali:

• NIST National Vulnerability Database — CVE-2025-47987
• Microsoft Security Response Center (MSRC)

---

📚 Known Affected Software Configurations (CPE 2.2)

📣 Manca un CPE? Segnala la tua scoperta a [email protected] (solo per ricercatori autorizzati)!

---

📎 Riferimenti

• Microsoft Security Advisory — CVE-2025-47987 (Avviso del fornitore)
• NVD — Dettaglio CVE-2025-47987
• CWE-122: Heap-based Buffer Overflow
• CWE-190: Integer Overflow or Wraparound

---

🔐 Ultimo aggiornamento: 2025-04-05 — Basato su dati pubblici di MSRC e NVD.
🛠️ Questo file README.md è concesso in licenza CC BY-NC-SA 4.0 per uso educativo e di ricerca non commerciale.