CVE-2025-26633 - Microsoft 管理控制台 (.msc) EvilTwin 本地权限提升 PoC

披露时为零日漏洞（2025年3月） – 已被 Water Gamayun APT 在野积极利用
仅限授权安全测试和研究使用

漏洞详情

• 漏洞利用标题：Microsoft 管理控制台 (MMC) - MSC EvilTwin 本地权限提升 / 任意代码执行
• CVE：CVE-2025-26633
• CVSS v3.1：7.8（高危）– AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
• 受影响系统：
  • Windows 10（所有版本）
  • Windows 11（所有版本）
  • Windows Server 2016 – 2025
    → 2025年3月“补丁星期二”之前未修补的系统
• 已修补版本：2025年3月更新（如 KB5053602 及更高版本）
• 发现与披露：通过 Zero Day Initiative 协调
• ZDI 公告：ZDI-25-150
• Microsoft 公告：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-26633

作者

• Mohammed Idrees Banyamer
  约旦 | 安全研究员
  Instagram: @banyamer_security
  GitHub: https://github.com/mbanyamer

概念验证

本仓库包含一个概念验证漏洞利用程序，演示如何通过恶意 .msc（MMC 管理单元）文件执行任意命令。

当低权限用户使用 mmc.exe 打开特制的 .msc 文件时，嵌入的 RunCommand 操作会以该用户的权限执行，从而在某些攻击链中实现攻击后的横向移动或权限提升。

当前 PoC 会静默创建一个本地管理员账户：

• 用户名：hacker
• 密码：P@ssw0rd123!

使用方法

python3 cve-2025-26633_poc.py