CVE-2025-24054 および CVE-2025-24071 - .library-ms エクスプロイトによる NTLM ハッシュ漏洩

この PoC は、未パッチの Windows システム (2025 年 3 月の Patch Tuesday) において .library-ms ファイルを介した NTLM ハッシュ漏洩の悪用を示しています。

⚠️ これは教育および研究目的のみです。本番環境や許可されていないシステムでは使用しないでください。

🧠 説明

Windows エクスプローラーで UNC パスを含む .library-ms ファイルを開く（またはプレビューする）と、指定されたサーバーへの SMB 認証要求がトリガーされ、NTLMv2 ハッシュが漏洩します。

📁 ファイル

• generate_library_ms.py : 悪意のある .library-ms ファイルを生成します
• xd.library-ms : サンプルの悪意のあるファイル（設定可能な SMB サーバーを指します）
• Instructions_Responder.md : Responder を使用して偽の SMB サーバーをセットアップする方法

🧪 テスト手順

1. 攻撃マシンで Responder を起動します:

   root@kitploit:~

   sudo responder -I eth0
   

2. 被害者の Windows VM で:

   • .library-ms ファイルをダウンロードまたは生成する
   • ファイルエクスプローラーでプレビューする

3. 攻撃側で:

   • Responder の出力でキャプチャされた NTLM ハッシュを確認する

📸 デモ

PoC Demo

📚 参考文献

• Check Point Research – CVE-2025-24054 分析
• Microsoft パッチノート (2025 年 3 月)

✅ 緩和策

• Microsoft の 2025 年 3 月のパッチを適用する
• 可能な場合は NTLM を無効にする
• 信頼できないソースからの .library-ms ファイルを操作しないようユーザーを教育する

🧑‍💻 作成者

PoC は Helidem によって作成されました