CVE-2025-24071 - Windows 파일 탐색기 스푸핑 취약점 개념 증명

개요

CVE-2025-24071은 Windows 파일 탐색기의 스푸핑 취약점으로, 인증되지 않은 공격자가 네트워크를 통해 민감한 정보를 노출할 수 있게 합니다. 이 취약점은 Windows 탐색기에서 .library-ms 파일에 대한 암시적 신뢰와 자동 구문 분석 동작으로 인해 발생합니다. SMB 경로가 포함된 .library-ms 파일을 담은 악성 아카이브 파일(예: RAR/ZIP)을 제작함으로써, 공격자는 추출 시 SMB 인증 요청을 유발하여 사용자의 NTLM 해시를 노출시킬 수 있습니다.

CVE ID: CVE-2025-24071
심각도: 중간 (CVSS v3.1 기본 점수: 6.5)
벡터: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
CWE: CWE-200 - 인가되지 않은 행위자에게 민감한 정보 노출
게시일: 2025년 3월 11일
마지막 업데이트: 2025년 4월 16일

영향을 받는 시스템

이 취약점은 다음 Windows 버전에 영향을 미칩니다:

Windows 10 (버전 1607, 1809, 21H2, 22H2)
Windows 11 (버전 22H2, 23H2, 24H2)
Windows Server 2012 R2
Windows Server 2016
Windows Server 2019
Windows Server 2022
Windows Server 2025

영향을 받는 시스템의 전체 목록은 Microsoft 보안 업데이트 가이드를 참조하십시오.

악용 세부 정보

공격자는 다음 방법으로 이 취약점을 악용할 수 있습니다:

악성 SMB 경로가 포함된 .library-ms 파일을 제작합니다.
.library-ms 파일을 RAR 또는 ZIP 아카이브에 포함시킵니다.
아카이브를 대상 사용자에게 배포합니다.
추출 시 Windows 탐색기가 .library-ms 파일을 자동으로 처리하여 공격자의 서버로 SMB 인증 요청을 시작합니다.
이 과정에서 사용자의 NTLM 해시가 노출될 수 있습니다.

이 방법은 .library-ms 파일 처리 시 Windows 탐색기의 동작 방식과 SMB 프로토콜의 인증 메커니즘을 활용합니다.

개념 증명

이 저장소에는 이 취약점을 입증하는 PoC가 포함되어 있으며, 이 경우 SMB를 통해 파일을 업로드합니다:

exploit.py: 악성 .library-ms 파일을 생성하고 ZIP 아카이브로 패키징하는 스크립트.

사용법:

python exploit.py --ip $IP --filename payload --share share-name

먼저, exploit.py를 사용하여 페이로드를 제작합니다

다른 탭에서는 해시를 수신할 리스너를 설정합니다

그런 다음 파일을 업로드하고 누군가가 열 때까지 기다립니다

poc

마지막으로, 파일이 열린 후 사용자의 해시를 수신합니다

poc

CVE-2025-24071-PoC

인기