CVE-2025-50154, CVE-2025-59214

Windows エクスプローラー ゼロクリック NTLMv2-SSP ハッシュ開示

著者: Ruben Enkaoua と Cymulate

最初のブログ: Zero Click, One NTLM: Microsoft Security Patch Bypass (CVE-2025-50154)

2つ目のブログ: Patched Twice, Still Bypassed: New NTLM Leak (CVE-2025-50154 Patch Bypass)

説明

Microsoft がアイコンベースの NTLM ハッシュ開示の脆弱性に対処するセキュリティ更新プログラムをリリースした一方で、私は依然として攻撃者がユーザーの操作なしに NTLMv2-SSP ハッシュを取得できるバイパスを発見しました。

最近パッチが適用された元の脆弱性は、explorer.exe がリモート SMB サーバー上にホストされたアイコンを持つ .LNK ショートカットファイルのアイコンをレンダリングしたときにトリガーされる 0 クリック NTLM ハッシュ開示でした。
パッチ適用後、explorer.exe はリモート SMB パスからアイコンを読み込まなくなり、NTLM ハッシュの自動開示が防止されます。

更新: CVE-2025-50154 のパッチは全く機能しませんでした。私たちはこれを報告し、この脆弱性には新しい CVE である CVE-2025-59214 が割り当てられました。この PoC は両方の CVE に関連します。

以下のような .LNK ファイルを作成することで:

• shell32.dll のデフォルトアイコン
  
• リモート SMB でホストされているバイナリファイルを指すターゲットパス
  
  

explorer.exe プロセスは、RT_GROUP_ICON および RT_ICON リソースから PE アイコンを抽出するために、依然としてリモートファイルを取得します。

手順

サーバー上で responder サーバーを起動します 別のマシンで PowerShell を使用して悪意のある LNK を作成し、それを被害者にドロップします（悪意のあるダウンロード、SMB アップロードなど）。 explorer.exe プロセスは、.rsrc セクション内の RT_ICON および RT_GROUP_ICON ヘッダーを探して、ファイルを自動的にダウンロードしてアイコンをレンダリングします。 このコードは教育および研究目的のみを対象としています。 作者はこのコードの悪用について一切の責任を負いません。