4n4s4zi/cve-2025-33053_pocPOC exploit para CVE-2025-33053 (controle externo do caminho de execução de arquivo em arquivo URL)
O diretório de trabalho em um arquivo .url pode ser definido como um servidor WebDAV externo. Quando aberto por um cliente Windows, as dependências do executável definido no campo URL são procuradas no compartilhamento WebDAV externo. Se um executável ou DLL arbitrário receber o mesmo nome de uma dessas dependências, ele é carregado e executado pelo cliente Windows. No caso deste POC, a URL é definida como o executável de diagnóstico do Internet Explorer "iediagcmd.exe", local no cliente Windows. O iediagcmd.exe posteriormente chama alguns executáveis diferentes, um dos quais é "route.exe". Ao dar a um binário arbitrário, como um carregador de shellcode, o mesmo nome e compartilhá-lo no servidor WebDAV apontado na variável "WorkingDirectory" do arquivo .url, o cliente Windows irá carregá-lo e executá-lo quando o arquivo URL for aberto.
Execute sudo bash webdav_setup.sh para configurar e executar um servidor Apache2 WebDAV a partir de um host Linux (ou configure um você mesmo).
Coloque um executável, como um carregador de shellcode, chamado "route.exe" no compartilhamento WebDAV.
Modifique o arquivo URL para apontar para o nome de domínio ou endereço IP do servidor WebDAV.
Sirva o arquivo URL para um cliente Windows através de algum tipo de pretexto que faça com que ele seja executado por um usuário.
Se estiver usando um payload que aciona um callback C2, o route.exe pode nunca retornar. O iediagcmd.exe abre uma janela que aguarda o término do comando, então execute o comando taskkill /f /im iediagcmd.exe para matar a janela do processo original do iediagcmd no cliente.
