CVE-2025-1868: Testador HTTP de Vazamento NTLM do Advanced IP Scanner & Advanced Port Scanner

Pequena aplicação PHP dockerizada que aciona um handshake NTLM e extrai o domínio, usuário e estação de trabalho alegados das mensagens NTLM Tipo 3.

Ela não valida senhas.
Não armazena desafios.
Apenas registra a identidade alegada e metadados da requisição.

Isso é útil para confirmar quando um scanner ou fluxo de trabalho de solução de problemas está causando autenticação NTLM de saída via HTTP.

Importante: Deve ser publicado na porta 80 do host. Se for publicado em uma porta diferente, a validação pode falhar.

+Informações: https://labs.itresit.es/2026/01/03/cve-2025-1868-unpatched-advanced-ip-scanner-silently-exposes-ntlm-during-scans/

1. Executando em modo docker

./run.sh

Logs

tail -f data/scan.log

2. Implantação independente

src/index.php é totalmente autocontido e pode ser executado como um endpoint independente em qualquer servidor web que possa executar PHP (ex.: Apache + mod_php, Nginx + PHP-FPM, ...).

Início rápido para implantações independentes

1. Copie index.php para sua raiz web (ou para um host virtual dedicado), por exemplo:

   • Apache: /var/www/html/index.php
   • Nginx: sua raiz do site, servida via PHP-FPM

2. Garanta que o usuário do processo possa escrever no arquivo de log (padrão: ../scan.log)

3. Referências

• https://nvd.nist.gov/vuln/detail/CVE-2025-1868
• https://www.cve.org/CVERecord?id=2025-1868
• https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2025-1868
• https://labs.itresit.es/published-vulnerabilities/