mrk336/patch-the-path-cve-2025-55234-detection-defenseQuesto playbook delinea le strategie di rilevamento, contenimento e remediation per CVE-2025-55234, una vulnerabilità critica di escalation dei privilegi in Windows SMB.
Questo playbook illustra le strategie di rilevamento, contenimento e rimedio per CVE-2025-55234, una critica vulnerabilità di escalation dei privilegi in Windows SMB.
_Di Mark Mallia
Nel panorama odierno in continua evoluzione del rischio informatico, la capacità di passare da un accesso iniziale a bassi privilegi a un accesso a livello SYSTEM su una rete interna non è più solo una minaccia teorica: è la mossa distintiva di un avversario maturo. La vulnerabilità CVE‑2025‑54918, recentemente divulgata, nell'autenticazione NTLM di Windows esemplifica questo pericolo: un attaccante remoto può sfruttare un difetto nel processo di negoziazione NTLM per bypassare la convalida Kerberos e ottenere pieni diritti amministrativi, senza richiedere alcuna interazione con l'utente.
Questo articolo illustra un percorso di sfruttamento concreto per CVE‑2025‑54918, ne delinea le implicazioni per organizzazioni di ogni dimensione e fornisce un playbook di incident response testato sul campo utilizzando Azure Sentinel e Splunk per rilevare, contenere e rimediare alla minaccia sia in ambienti cloud Azure che AWS.
È importante sottolineare che non si tratta di un caso isolato. Il 2025 ha visto un'impennata di vulnerabilità legate a SMB, ciascuna delle quali ha eroso il perimetro di fiducia delle reti aziendali. Se non l'hai già fatto, dai un'occhiata al mio approfondimento su CVE‑2025‑55234, una critica vulnerabilità di escalation dei privilegi in Windows SMB che ho analizzato in precedenza in Patch-the-Path: CVE-2025-55234 Detection & Defense. Insieme, queste vulnerabilità dipingono un quadro chiaro: gli attaccanti prendono sempre più di mira i protocolli core di autenticazione e condivisione file per ottenere accesso furtivo e persistente.
Severità: 8.8 (Critica)
Componente: NTLM
Impatto: Gli attaccanti remoti possono elevare un accesso di rete a bassi privilegi a privilegi di livello SYSTEM senza interazione con l'utente.
Vettore d'attacco: Basato sulla rete; ideale per il movimento laterale in ambienti enterprise.
NTLM (NT LAN Manager) è l'implementazione Microsoft del protocollo di autenticazione Kerberos utilizzato per gli accessi ai domini Windows. Un client avvia la fase di "negoziazione", invia un pacchetto challenge-response a un controller di dominio, riceve un ticket e quindi si autentica contro il sistema di destinazione. CVE‑2025‑54918 sfrutta una sottile race condition nel modo in cui NTLM negozia la chiave di sessione durante il passaggio Session Key Derivation. Quando due richieste di autenticazione vengono ricevute simultaneamente da client distinti, la chiave di sessione può essere sovrascritta da una richiesta dannosa che riproduce un ticket precedente, concedendo di fatto diritti SYSTEM a un attaccante che disponeva solo di credenziali a bassi privilegi.
Il difetto viene innescato da una stringa SPN (Service Principal Name) appositamente costruita nel pacchetto di negoziazione. Il valore dannoso viene analizzato in modo errato dalla routine kernel NtLmAuth, che finisce per utilizzare una chiave di sessione obsoleta della richiesta precedente invece di calcolarne una nuova. Il risultato è che la macchina remota si autentica come SYSTEM sul sistema di destinazione.
| Passo | Descrizione | Strumenti | Artefatti chiave |
|---|---|---|---|
| 1 | Ricognizione e scoperta – Identificare un domain controller e raccogliere un elenco di utenti a bassi privilegi (es. "user01") che dispongono di accesso in lettura/scrittura alla condivisione SYSVOL. | BloodHound, PowerView | DC01: <IP>, DomainControllerName |
| 2 | Raccolta credenziali – Utilizzare il Kerberos replay (tramite Mimikatz) per estrarre dal domain controller un ticket per user01. | Mimikatz, PowerView | Ticket‑blob |
| 3 | Pacchetto NTLM artefatto – Costruire un pacchetto con uno SPN volutamente malformato che innesca CVE‑2025‑54918 durante la fase di negoziazione. | Metasploit (modulo: auxiliary/windows/ntlm_bypass) | NTLM_Negotiate |
| 4 | Esecuzione remota – Inviare il pacchetto artefatto alla macchina target X via SMB sulla porta 445, facendola autenticare come SYSTEM senza interazione con l'utente. | PowerView, Metasploit | TargetIP: 10.1.5.23 |
| 5 | Persistenza e movimento laterale – Creare un'attività pianificata che esegue il payload dell'attaccante ed espande la portata ad altri nodi del dominio. | PowerView, Sysinternals | ScheduledTask: "NTLM‑Bypass" |
La catena è completamente autonoma dopo il passo 2; un attaccante può passare da un account a bassi privilegi a SYSTEM su qualsiasi target all'interno dello stesso dominio senza alcun intervento umano oltre alla ricognizione iniziale.
Di seguito è riportato un playbook pronto per la distribuzione sia in ambienti Azure che AWS. Copre la logica di rilevamento (query KQL per Sentinel; query SPL per Splunk), le fasi di contenimento e le attività di rimedio. Il playbook presuppone che tu abbia già applicato l'ultima patch Microsoft KB 2025‑54918 su tutti i domain controller.
Connettori dati:
Regola di rilevamento 1 – "Bypass dell'autenticazione NTLM rilevato"
Heartbeat
| where Computer == 'DC01' or Computer startswith '10.1.'
| union (Event
| where EventID in (4624, 4648)
| extend NTLM_Negotiate = tostring(parse_json(AdditionalFields).NTLM_Negotiate))
| summarize count() by Computer, TimeGenerated, NTLM_Negotiate
| where count_ > 1 and TimeGenerated between(datetime(2025-09-15T00:00Z), datetime(2025-09-16T23:59Z))
Regola di rilevamento 2 – "Sovrascrittura chiave di sessione"
Heartbeat
| union (SysinternalsAuditEvent
| where EventID == 4624)
| summarize count() by Computer, TimeGenerated, AuthenticationPackageName
| where AuthenticationPackageName contains 'NTLM'
| where count_ > 0 and TimeGenerated between(datetime(2025-09-15T00:00Z), datetime(2025-09-16T23:59Z))
Passaggi del playbook (Azure Sentinel):
CVE‑2025‑54918.Get-MgUser -Filter "DisplayName eq 'user01'").Invoke-NTLMBypass.ps1).