CVE-2025-26633 - Microsoft Management Console (.msc) EvilTwin 로컬 권한 상승 PoC

공개 시점의 제로데이 (2025년 3월) – Water Gamayun APT에 의해 실제 환경에서 활발히 악용됨
공인된 보안 테스트 및 연구용으로만 사용

취약점 세부 정보

• 익스플로잇 제목: Microsoft Management Console (MMC) - MSC EvilTwin 로컬 권한 상승 / 임의 코드 실행
• CVE: CVE-2025-26633
• CVSS v3.1: 7.8 (높음) – AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• 영향을 받는 시스템:
  • Windows 10 (모든 에디션)
  • Windows 11 (모든 에디션)
  • Windows Server 2016 – 2025
    → 2025년 3월 패치 화요일 이전의 패치되지 않은 시스템
• 패치: 2025년 3월 업데이트 (예: KB5053602 이상)
• 발견 및 공개: Zero Day Initiative를 통해 조정
• ZDI 권고: ZDI-25-150
• Microsoft 권고: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-26633

저자

• Mohammed Idrees Banyamer
  요르단 | 보안 연구원
  Instagram: @banyamer_security
  GitHub: https://github.com/mbanyamer

개념 증명

이 저장소는 악성 .msc (MMC 스냅인) 파일을 통해 임의 명령 실행을 보여주는 개념 증명 익스플로잇을 포함합니다.

낮은 권한의 사용자가 mmc.exe를 사용하여 조작된 .msc 파일을 열면, 포함된 RunCommand 동작이 사용자의 권한으로 실행되어 특정 공격 체인에서 사후 침투 측면 이동이나 권한 상승이 가능합니다.

현재 PoC는 자동으로 로컬 관리자 계정을 생성합니다:

• 사용자 이름: hacker
• 비밀번호: P@ssw0rd123!

사용 방법

python3 cve-2025-26633_poc.py