> For the complete documentation index, see [llms.txt](https://beafn28.gitbook.io/beafn28/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://beafn28.gitbook.io/beafn28/cve-and-poc/poc-cve-2025-24054-windows-ntlm-hash-disclosure-via-.library-ms-spoofing.md).

# PoC - CVE-2025-24054 - Windows NTLM Hash Disclosure via .library-ms Spoofing

{% embed url="<https://www.exploit-db.com/exploits/52478>" %}

#### Resumen

Desarrollé una Proof of Concept (PoC) que demuestra una vulnerabilidad de **NTLM Hash Disclosure** en **Windows 10 y Windows 11**, provocada por el uso de archivos `.library-ms` que apuntan a recursos remotos controlados por un atacante mediante rutas UNC.

La PoC permite forzar la autenticación NTLM automática del sistema víctima hacia un servidor remoto, lo que resulta en la **exposición del hash NTLM del usuario**. El exploit fue publicado y verificado en **Exploit Database (EDB-ID 52478)**.

#### Detalle técnico

* **Producto afectado:** Microsoft Windows
* **Versiones:** Windows 10 / Windows 11 (múltiples builds, ver CPE)
* **CVE:** CVE-2025-24054
* **Componente vulnerable:** Mecanismo de bibliotecas de Windows (`.library-ms`)
* **Vector de ataque:** Archivo `.library-ms` apuntando a una ruta UNC remota
* **Tipo de vulnerabilidad:** NTLM Hash Disclosure / Spoofing
* **Plataforma:** Windows

#### Descripción de la PoC

La PoC consiste en la generación de un archivo **`.library-ms`** que referencia un recurso remoto a través de una ruta **UNC (`\\attacker\share`)**.

Cuando el archivo es abierto o importado en el sistema Windows víctima, el sistema intenta resolver automáticamente el recurso remoto. Durante este proceso, **Windows inicia una autenticación NTLM automática**, enviando el hash NTLM del usuario al servidor remoto controlado por el atacante.

La PoC está diseñada para:

* Generar el archivo `.library-ms` de forma controlada.
* Empaquetarlo opcionalmente en un archivo ZIP.
* Facilitar pruebas únicamente en entornos de laboratorio.

No se requiere explotación de memoria ni ejecución directa de código en el sistema víctima.

#### Comportamiento demostrado

* Forzado de autenticación NTLM automática hacia un servidor remoto.
* Exposición del hash NTLM del usuario autenticado.
* Confirmación de que Windows no valida adecuadamente el origen del recurso remoto.
* Posibilidad de captura del hash para ataques posteriores (relay u offline cracking).

#### Entorno de pruebas

* **Plataforma:** Windows 10 (x64) / Windows 11 (x64)
* **Escenario:** Laboratorio controlado
* **Herramientas empleadas:**
  * Python 3
  * SMB listener (Responder / equivalente)
  * Archivo `.library-ms` generado por la PoC

#### Impacto

Un atacante puede explotar esta vulnerabilidad para:

* Obtener hashes NTLM de usuarios legítimos (confidencialidad).
* Realizar ataques de **NTLM relay** contra otros servicios.
* Ejecutar ataques de **fuerza bruta u offline cracking** sobre los hashes obtenidos.
* Facilitar movimientos laterales dentro de entornos corporativos Windows.

#### Mitigaciones recomendadas

* Bloquear o restringir autenticaciones NTLM hacia recursos remotos no confiables.
* Deshabilitar NTLM cuando sea posible y migrar a Kerberos.
* Aplicar las actualizaciones de seguridad publicadas por Microsoft.
* Configurar políticas de grupo para limitar el acceso a rutas UNC externas.
* Monitorizar intentos de autenticación NTLM saliente inesperados.

#### Referencias

* **Exploit Database:** <https://www.exploit-db.com/exploits/52478>
* **CVE Record:** <https://nvd.nist.gov/vuln/detail/CVE-2025-24054>

{% hint style="danger" %}
Esta PoC ha sido desarrollada únicamente con fines educativos y de investigación. No debe ejecutarse contra sistemas en producción ni sin autorización expresa. Seguir siempre prácticas de *responsible disclosure*.
{% endhint %}