sentinel-aidefense/cve-2025-33073Resoconto della ricerca su CVE-2025-33073
Analisi di ricerca di Sentinel AI Defense. Solo analisi difensiva — nessun exploit funzionante o PoC viene pubblicato qui.
Un difetto di controllo degli accessi improprio nel client SMB di Windows che ripristina tecniche di riflessione NTLM ritenute mitigate — permettendo a un attaccante di indurre un host a riflettere un contesto di autenticazione con privilegi elevati su se stesso ed elevare a NT AUTHORITY\SYSTEM.
📄 Analisi completa: https://sentinelaidefense.com/posts/cve-2025-33073-smb-reflection.html
CVE-2025-33073 è una vulnerabilità di controllo degli accessi improprio (CWE-284) nel client SMB di Windows. Consente a un attaccante autenticato di elevare i privilegi a NT AUTHORITY\SYSTEM attraverso una rete abusando di difetti in come il client gestisce l'autenticazione forzata e la validazione del nome del destinatario (in particolare con record DNS serializzati e riflessione NTLM).
La questione ripristina efficacemente alcune tecniche di riflessione NTLM precedentemente considerate mitigate. È stata corretta da Microsoft negli aggiornamenti di sicurezza di giugno 2025 e successivamente aggiunta al catalogo CISA KEV a causa di sfruttamento attivo confermato.
Interessa molteplici edizioni client e server di Windows, tra cui:
La vulnerabilità richiede che il target sia unito a un dominio o in un ambiente in cui la firma SMB non è imposta sul lato client. Le patch sono disponibili tramite il Patch Tuesday di giugno 2025.
La causa principale risiede nella gestione, da parte del client SMB (mrxsmb.sys), del contesto di autenticazione inizializzazione e della validazione del nome del destinatario durante le connessioni SMB forzate.
Quando un attaccante induce una macchina vittima (ad es., tramite percorso UNC, avvelenamento LLMNR/NBNS o strumenti come PetitPotam) a connettersi a un server SMB malevolo, il client esegue l'autenticazione NTLM/Kerberos. A causa di una validazione impropria delle informazioni serializzate del destinatario nei record DNS, il client può essere ingannato facendogli considerare la connessione remota come locale. Questo porta alla riflessione del contesto di autenticazione (inclusi token con privilegi elevati come quelli di lsass.exe in esecuzione come SYSTEM) di nuovo al sistema locale.
La falla bypassa le precedenti mitigazioni di riflessione NTLM quando la firma SMB non è imposta. I ricercatori l'hanno descritta come abilitante l'esecuzione remota di codice autenticato come SYSTEM in molti scenari pratici.
lsass.exe o un altro processo con privilegi elevati) ad avviare una connessione SMB verso infrastrutture controllate dall'attaccante (ad es., tramite link malevolo, WebDAV o avvelenamento della risoluzione dei nomi).Lo sfruttamento spesso si combina con strumenti esistenti per coercizione e relay. PoC pubblici sono apparsi dopo la patch, con sfruttamento attivo confermato successivamente nel 2025.
lsass) che avviano inaspettatamente connessioni SMB in uscita.Imporre la firma SMB alza significativamente l'asticella per lo sfruttamento.
Consultare gli advisory Microsoft e il CISA KEV per hash aggiornati e indicatori di rete.
Questa vulnerabilità evidenzia i rischi continui in ambienti senza politiche stringenti di firma SMB.
Questo repository è pubblicato solo per scopi difensivi ed educativi. Contiene analisi, logica di rilevamento e linee guida per la mitigazione. Non viene fornito alcun codice exploit funzionale. Utilizzare queste informazioni solo su sistemi che si è autorizzati a testare e difendere.
Mantenuto da Sentinel AI Defense · Risultati condivisi responsabilmente nell'ambito della divulgazione coordinata.