CVE-2025-50154, CVE-2025-59214

Windows 파일 탐색기 제로 클릭 NTLMv2-SSP 해시 노출

작성자: Ruben Enkaoua 및 Cymulate

첫 번째 블로그: 제로 클릭, 하나의 NTLM: Microsoft 보안 패치 우회 (CVE-2025-50154)

두 번째 블로그: 두 번 패치, 여전히 우회됨: 새로운 NTLM 유출 (CVE-2025-50154 패치 우회)

설명

Microsoft가 아이콘 기반 NTLM 해시 노출 취약점을 해결하는 보안 업데이트를 출시했지만, 저는 사용자 상호작용 없이도 공격자가 NTLMv2-SSP 해시를 탈취할 수 있는 우회 방법을 발견했습니다.

최근 패치된 원래 취약점은 explorer.exe가 원격 SMB 서버에 호스팅된 아이콘을 가진 .LNK 바로가기 파일의 아이콘을 렌더링할 때 트리거되는 0-클릭 NTLM 해시 노출이었습니다.
패치 이후 explorer.exe는 더 이상 원격 SMB 경로에서 아이콘을 로드하지 않으므로 NTLM 해시의 자동 노출이 방지됩니다.

업데이트: CVE-2025-50154에 대한 패치는 전혀 작동하지 않았습니다. 이를 신고했고, 해당 취약점에 새로운 CVE인 CVE-2025-59214가 할당되었습니다. POC는 두 CVE 모두에 적용됩니다.

다음과 같은 .LNK 파일을 제작함으로써:

• shell32.dll의 기본 아이콘
  
• 원격 SMB 호스팅 바이너리 파일을 가리키는 대상 경로
  
  

explorer.exe 프로세스는 여전히 원격 파일을 가져와 해당 RT_GROUP_ICON 및 RT_ICON 리소스에서 PE 아이콘을 추출합니다.

단계

자신의 서버에서 Responder 서버를 시작하세요 다른 머신에서 powershell로 악성 LNK를 제작한 다음 피해자에게 전달합니다(악성 다운로드, SMB 업로드 등). explorer.exe 프로세스는 파일을 자동으로 다운로드하여 .rsrc 섹션에서 RT_ICON 및 RT_GROUP_ICON 헤더를 찾아 아이콘을 렌더링합니다. 이 코드는 교육 및 연구 목적으로만 제공됩니다. 저자는 이 코드의 어떠한 오용에 대해서도 책임을 지지 않습니다.