CVE-2025-50154, CVE-2025-59214

Divulgazione di hash NTLMv2-SSP Zero Click in Windows File Explorer

Di Ruben Enkaoua e Cymulate

Primo Blog: Zero Click, Un NTLM: Bypass della Patch di Sicurezza Microsoft (CVE-2025-50154)

Secondo Blog: Patchato Due Volte, Ancora Bypassato: Nuova Perdita NTLM (Bypass della Patch CVE-2025-50154)

Descrizione

Mentre Microsoft ha rilasciato un aggiornamento di sicurezza per una vulnerabilità di divulgazione di hash NTLM basata sulle icone, ho scoperto un bypass che consente comunque a un attaccante di recuperare hash NTLMv2-SSP senza interazione da parte dell'utente.

La vulnerabilità originale, recentemente patchata, era una divulgazione di hash NTLM a zero click attivata quando explorer.exe renderizzava l'icona di un file .LNK la cui icona era ospitata su un server SMB remoto.
Dopo la patch, explorer.exe non carica più le icone da percorsi SMB remoti, impedendo la divulgazione automatica degli hash NTLM.

Aggiornamento: la patch per CVE-2025-50154 non ha funzionato affatto. L'abbiamo segnalato e alla vulnerabilità è stato assegnato un nuovo CVE: CVE-2025-59214. Il POC è valido per entrambi i CVE.

Creando un file .LNK con:

Avvia un server responder sul tuo server Crea un LNK malintenzionato con PowerShell, su una macchina diversa, e poi rilascialo alla vittima (download dannoso, upload SMB...) Il processo explorer.exe renderizzerà l'icona scaricando automaticamente il file, cercando le intestazioni RT_ICON e RT_GROUP_ICON nella sezione .rsrc Questo codice è solo a scopo educativo e di ricerca. L'autore non si assume alcuna responsabilità per un uso improprio di questo codice.