CVE-2025-24054 および CVE-2025-24071 - .library-ms を介した NTLM ハッシュ漏洩エクスプロイト

この PoC は、未パッチの Windows システム（2025年3月 Patch Tuesday）において、.library-ms ファイルを介した NTLM ハッシュ漏洩の悪用を実証します。

⚠️ これは教育および研究目的のみに使用してください。本番環境や許可されていないシステムでは使用しないでください。

🧠 説明

UNC パスを含む .library-ms ファイルが Windows エクスプローラーで開かれる（またはプレビューされる）と、指定されたサーバーへの SMB 認証要求がトリガーされ、NTLMv2 ハッシュが漏洩します。

📁 ファイル

• generate_library_ms.py : 悪意のある .library-ms ファイルを生成します
• xd.library-ms : サンプルの悪意のあるファイル（設定可能な SMB サーバーを指します）
• Instructions_Responder.md : Responder で偽の SMB サーバーをセットアップする方法

🧪 テスト方法

1. 攻撃者マシンで Responder を起動します:

   root@kitploit:~

   sudo responder -I eth0
   

2. 被害者の Windows VM 上で:

   • .library-ms ファイルをダウンロードまたは生成します
   • ファイルエクスプローラーでプレビューします

3. 攻撃者側で:

   • Responder の出力にキャプチャされた NTLM ハッシュを確認します

📸 デモ

PoC Demo

📚 参考

• Check Point Research – CVE-2025-24054 分析
• Microsoft パッチノート（2025年3月）

✅ 緩和策

• Microsoft の 2025年3月 パッチを適用する
• 可能な場合は NTLM を無効化する
• 信頼できないソースからの .library-ms ファイルを操作しないようユーザーに教育する

🧑‍💻 作者

PoC 作成者: Helidem