CVE-2025-10230 — Samba WINS Hook 命令注入

作者对因使用本工具而造成的误用或损害不承担任何责任。
研究仅用于教育和防御目的。

---

描述

此仓库包含针对 CVE-2025-10230 的概念验证（PoC），该漏洞是 Samba 的 WINS hook 机制中的一个命令注入缺陷。

该缺陷影响满足以下条件的 Samba 安装：

• 已启用 wins support = yes
• 在 wins hook = ... 中定义了自定义 shell 命令
• 服务器收到一个畸形的 NetBIOS 注册请求
• NetBIOS 名称被直接拼接进 shell 调用中，从而实现代码执行

此 PoC 演示了如何通过特制的 NetBIOS 名称注册 数据包在 Samba 内部触发任意 shell 命令。

---

技术信息

CVE-2025-10230 是 Samba WINS 服务器实现中的一个命令注入漏洞，特别是在充当 Active Directory 域控制器，并且同时配置了 WINS 支持和“wins hook”参数时触发。

• 漏洞机制：当收到 WINS 注册数据包时，数据包中的 NetBIOS 名称会被直接插入到由 Samba 进程执行的 shell 命令中。NetBIOS 名称未经过任何验证或转义，该名称最长可达 15 个字符，并且可能包含 shell 元字符。
• 攻击向量：攻击者向 UDP 端口 137 发送特制的 WINS 注册数据包，其中包含带有 shell 元字符（如 ;、|、& 或反引号）的 NetBIOS 名称。注入的 shell 代码将以 Samba 进程的权限执行，通常是 root。
• 根本原因：在将 NetBIOS 名称字段传给 shell 命令之前，未对其进行输入清理（CWE-78：操作系统命令注入）。
• 受影响配置：只有在 smb.conf 中设置了 wins support = yes 且 wins hook 参数非空的、充当 Active Directory 域控制器的 Samba 服务器才会受影响。默认配置不受影响。

CVSSv3 计算

CVSS:3.1: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H  (10.0)

补丁可用性

解决此问题的补丁已发布至：

https://www.samba.org/samba/security/

此外，Samba 4.23.2、4.22.5 和 4.21.9 已作为安全版本发布，以修复该缺陷。建议 Samba 管理员尽快升级到这些版本或应用补丁。

攻击向量（技术摘要）

1. 攻击者构造一个 NetBIOS 名称服务（NBNS）注册数据包
2. 名称中包含的载荷字符不得超过允许的 15 字符限制
3. Samba 在 137/UDP 端口 上接收 WINS 请求
4. wins hook 处理程序使用未经清理的输入执行
5. 载荷以 Samba 守护进程的权限（通常是 root）运行

限制条件

• NetBIOS 名称不能包含 < > ;
• 载荷大小必须 ≤ 15 字符
• 注入通过位置参数发生

可以成功执行的命令示例：

ls
pwd
uname

目录：/etc/samba/smb.conf

[global]
    wins support = yes
    wins hook = /usr/bin/ls

PoC 用法

python3 poc/cve-2025-10230.py \
    -t <TARGET_IP> \
    -n <PAYLOAD_NAME> \
    -i <SOURCE_IP>

示例：192.168.0.10（Samba 服务器）| bin（显示目录）| 192.168.0.50（任意）

python3 poc/cve-2025-10230.py -t 192.168.0.10 -n bin -i 192.168.0.50

仓库结构

CVE-2025-10230/
│
├── poc/
│   └── cve-2025-10230.py
│
├── evidence/
│   └── logs.md
│
├── conf/
│   └── smb.conf
│
└── README.md

作者与联系方式

- 研究人员：krakhen.dev
- GitHub：@nehkark
- 邮箱：[email protected]
- 网站：https://vciso.cloud
- 参考：https://github.com/dptsec/CVE-2025-10230/