CVE-2025-47987

CVE-2025-47987: Windows CredSSP Elevation of Privilege

📌 Этот репозиторий содержит документацию и аналитические материалы об уязвимости CVE-2025-47987, ошибке переполнения буфера в куче (Heap-based Buffer Overflow), затрагивающей протокол Windows Credential Security Support Provider (CredSSP).

---

📝 Описание

Уязвимость позволяет локальному аутентифицированному злоумышленнику повысить свои привилегии в системе. Ошибка возникает из-за некорректного управления памятью при обработке определенных пакетов протокола CredSSP, что может привести к:

• Переполнению буфера в куче
• Или переполнению целого числа (Integer Overflow)

Идентификатор: CVE-2025-47987 Тип уязвимости: Повышение привилегий (EoP) Слабые места (CWE):

• CWE-122: Heap-based Buffer Overflow
• CWE-190: Integer Overflow or Wraparound Серьезность (CVSS 3.1): 7.8 HIGH Вектор: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

---

💻 Затронутые системы

Уязвимость затрагивает широкий спектр операционных систем Microsoft, включая:

• Windows 10 (версии 1507 – 22H2)
• Windows 11 (версии 22H2, 23H2 и 24H2)
• Windows Server: 2008, 2012, 2016, 2019, 2022, 2025

✅ Важное примечание: Для снижения риска требуется обновление до версии сборки (build) более поздней, чем указано в каталоге безопасности Microsoft.

🔍 Полный список затронутых CPE см. ниже.

---

🛠️ Смягчение и решение

✅ Основное решение:

Примените официальные исправления безопасности, распространяемые Microsoft, через Windows Update.

• Официальное обновление: Руководство по обновлению безопасности Microsoft — CVE-2025-47987
• Проверка после установки исправления: Выполните winver или systeminfo и убедитесь, что версия сборки превышает указанные выше пороговые значения.

⚠️ Эффективных альтернативных решений (например, отключение CredSSP) не существует, так как это повлияет на критические функции, такие как Remote Desktop, WinRM и PowerShell Remoting.

---

🔍 Технический анализ

Переполнение происходит внутри поставщика поддержки безопасности учетных данных (CredSSP), в частности при обработке структур аутентификации NTLM/Kerberos в контексте перенаправления учетных данных (credential delegation).

Ключевые моменты:

• Требуемый доступ: Локальный + аутентифицированный (не удаленный).
• Взаимодействие с пользователем: UI:N → Не требует взаимодействия.
• Воздействие: Полная компрометация конфиденциальности, целостности и доступности (C:H/I:H/A:H).
• Типичный сценарий: Злоумышленник с правами обычного пользователя отправляет вредоносный запрос к службе, использующей CredSSP (например, termsrv, lsass), повреждает кучу и добивается выполнения кода с привилегиями SYSTEM.

---

⚠️ Отказ от ответственности

Этот контент предоставляется исключительно в информационных целях и для исследований в области кибербезопасности.

❌ Использование этой информации для компрометации систем без явного разрешения является незаконным и нарушает международные законы (например, CFAA, Organic Law on Data Protection, GDPR и т.д.).

✅ Его законное использование включает: авторизованные аудиты, этичное тестирование на проникновение, разработку средств защиты, обнаружение IDS/EDR и контролируемое академическое обучение.

Официальные источники:

• NIST National Vulnerability Database — CVE-2025-47987
• Microsoft Security Response Center (MSRC)

---

📚 Known Affected Software Configurations (CPE 2.2)

📣 Нет CPE? Сообщите о находке на [email protected] (только для авторизованных исследователей)!

---

📎 Ссылки

• Microsoft Security Advisory — CVE-2025-47987 (Совет производителя)
• NVD — CVE-2025-47987 Detail
• CWE-122: Heap-based Buffer Overflow
• CWE-190: Integer Overflow or Wraparound

---

🔐 Последнее обновление: 2025-04-05 — На основе общедоступных данных MSRC и NVD. 🛠️ Этот файл README.md лицензирован под CC BY-NC-SA 4.0 для образовательного и некоммерческого исследовательского использования.