CVE-2025-1868: Advanced IP Scanner & Advanced Port Scanner NTLM漏洩HTTPテスター

NTLMハンドシェイクをトリガーし、NTLM Type 3メッセージから申告されたドメイン、ユーザー、ワークステーションを抽出する、Docker化された小さなPHPアプリです。

パスワードの検証は行いません。
チャレンジの保存も行いません。
申告されたIDとリクエストメタデータのみをログに記録します。

これは、スキャナーやトラブルシューティングのワークフローがHTTP経由で外部へのNTLM認証を引き起こしていることを確認する際に役立ちます。

重要: ホストのポート80で公開する必要があります。別のポートで公開すると、検証が失敗する可能性があります。

+詳細情報: https://labs.itresit.es/2026/01/03/cve-2025-1868-unpatched-advanced-ip-scanner-silently-exposes-ntlm-during-scans/

1. Dockerモードでの実行

./run.sh

ログ

tail -f data/scan.log

2. スタンドアロンデプロイ

src/index.php は完全に自己完結しており、PHPを実行できる任意のWebサーバー（例: Apache + mod_php、Nginx + PHP-FPM など）上でスタンドアロンエンドポイントとして実行できます。

スタンドアロンデプロイのクイックスタート

1. index.php をWebルート（または専用のバーチャルホスト）にコピーします。例:

   • Apache: /var/www/html/index.php
   • Nginx: PHP-FPM経由で提供されるサイトルート

2. プロセスの実行ユーザーがログファイル（デフォルト: ../scan.log）に書き込めることを確認します。

3. 参考

• https://nvd.nist.gov/vuln/detail/CVE-2025-1868
• https://www.cve.org/CVERecord?id=2025-1868
• https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2025-1868
• https://labs.itresit.es/published-vulnerabilities/