CVE-2025-26633 - Microsoft Management Console (.msc) EvilTwin ローカル特権昇格 PoC

開示時点でのゼロデイ (2025年3月) – Water Gamayun APT により実際に悪用中
認可されたセキュリティテストおよび研究目的のみ

脆弱性の詳細

• エクスプロイトタイトル: Microsoft Management Console (MMC) - MSC EvilTwin ローカル特権昇格 / 任意コード実行
• CVE: CVE-2025-26633
• CVSS v3.1: 7.8 (高) – AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• 影響を受けるシステム:
  • Windows 10 (全エディション)
  • Windows 11 (全エディション)
  • Windows Server 2016 – 2025
    → 2025年3月のPatch Tuesday以前の未パッチシステム
• パッチ適用: 2025年3月更新 (例: KB5053602 以降)
• 発見と開示: Zero Day Initiative を通じて調整
• ZDI アドバイザリ: ZDI-25-150
• Microsoft アドバイザリ: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-26633

著者

• Mohammed Idrees Banyamer
  ヨルダン | セキュリティ研究者
  Instagram: @banyamer_security
  GitHub: https://github.com/mbanyamer

概念実証

このリポジトリには、悪意のある .msc (MMC スナップイン) ファイルを介した任意のコマンド実行を実証する概念実証エクスプロイトが含まれています。

低権限ユーザーが mmc.exe を使用して細工された .msc ファイルを開くと、埋め込まれた RunCommand アクションがユーザーの権限で実行され、特定の攻撃チェーンにおいてポストエクスプロイトの横方向の移動や権限昇格が可能になります。

現在のPoCは、ローカル管理者アカウントをサイレントに作成します:

• ユーザー名: hacker
• パスワード: P@ssw0rd123!

使用方法

python3 cve-2025-26633_poc.py