NTLM Hash Disclosure Spoofing Vulnerability

Falha em como o Windows Explorer processa arquivos .library-ms: um XML malicioso apontando para um caminho UNC força a máquina da vítima a autenticar via NTLM contra um servidor controlado pelo atacante, vazando o hash Net-NTLMv2 do usuário sem que o arquivo precise ser 'aberto' no sentido tradicional. O CVSS de 6.5 subestima o risco prático — está no catálogo KEV da CISA com exploração ativa confirmada e PoC pública, e é a porta de entrada clássica para relay de NTLM e escalação lateral em ambientes Windows.

A vulnerabilidade é um External Control of File Name or Path (CWE-73). Arquivos .library-ms são XMLs interpretados nativamente pelo shell do Windows para definir 'bibliotecas' do Explorer (como as pastas Documentos, Imagens etc.). Dentro da tag o autor do arquivo controla livremente o caminho, incluindo um UNC (\\host\share) apontando para qualquer servidor externo.

Quando o Explorer processa esse arquivo — o que pode ocorrer apenas ao visualizá-lo dentro de uma pasta, sem clique duplo para 'abrir' o conteúdo — o sistema tenta resolver o caminho UNC referenciado. Essa resolução dispara uma tentativa de autenticação SMB/WebDAV, e o Windows envia automaticamente as credenciais NTLM do usuário logado (handshake Net-NTLMv2) para o host de destino, que é controlado pelo atacante.

A classe de bug não é nova: pesquisador (hyp3rlinx) reportou a mesma técnica à MSRC em 2018 e recebeu a resposta de que 'o risco não era severo o suficiente para correção imediata'. Sete anos depois, outros pesquisadores redescobriram e reportaram o mesmo comportamento, e a Microsoft finalmente atribuiu CVE-2025-24054, creditando retroativamente o reporte original.

O atacante não controla execução de código nem integridade dos dados (I:N, A:N no vetor CVSS) — o impacto é exclusivamente confidencialidade (C:H): o vazamento do material de autenticação NTLM, que pode ser quebrado offline ou usado em ataques de relay.

O vetor de entrega é qualquer meio que coloque o arquivo .library-ms no sistema de arquivos da vítima e o exponha à renderização do Explorer: anexo de e-mail, download direto, ou — no caso mais comum observado — dentro de um arquivo ZIP que a vítima extrai. A interação exigida (UI:R no CVSS) é mínima: basta que o Explorer chegue a processar/exibir o item na pasta, não é necessário efetivamente 'executar' nada.

O atacante mantém um listener SMB (ou WebDAV) sob seu controle no endereço referenciado no XML. No momento em que o Windows tenta resolver o caminho UNC, ele recebe a tentativa de autenticação NTLM da vítima e captura o hash Net-NTLMv2. A partir daí, o atacante quebra o hash offline (força bruta/dicionário) para obter a senha em texto claro, ou — mais grave em redes corporativas sem SMB signing/EPA — usa a captura em um ataque de relay para se autenticar como a vítima em outro serviço da rede.

A PoC pública (exploit-db 52478/52480, autoria de Beatriz Fresno Naumova) automatiza exatamente a geração desse .library-ms com a URL UNC apontando para o host do atacante, embutido em um ZIP. A presença no catálogo KEV da CISA (adicionado em 17/04/2025, prazo de mitigação 08/05/2025) confirma exploração observada em campo, embora a CISA não classifique como usada em campanhas de ransomware conhecidas.

A correção primária é aplicar as atualizações da Microsoft referentes a esta CVE, publicadas na mesma data de divulgação (11/03/2025) — consulte o advisory oficial no MSRC para o KB/build exato correspondente a cada versão do Windows listada, já que a Microsoft não centraliza um único número de build para todas as SKUs afetadas (Windows 10 múltiplas versões e Windows 11 22H2/23H2).

Onde a atualização não é imediata, controles compensatórios reais: bloquear tráfego SMB de saída (porta 445/139) na borda da rede para hosts externos — a maioria das redes corporativas já deveria fazer isso por padrão; desabilitar WebDAV Client se não for necessário; aplicar a política de grupo 'Network Security: Restrict NTLM: Outgoing NTLM traffic to remote servers' para impedir autenticação NTLM para servidores não confiáveis; e bloquear a extensão .library-ms em gateways de e-mail e em regras de Attack Surface Reduction, quando o produto de EDR utilizado suportar.

O que não funciona: apenas renomear ou restringir a extensão do arquivo não impede a exploração, pois o shell do Windows interpreta o conteúdo XML independentemente do nome exibido em alguns fluxos de extração/preview. Da mesma forma, treinamento de usuário contra 'abrir arquivos suspeitos' tem eficácia limitada, já que a interação necessária pode ser apenas visualizar a pasta no Explorer, não abrir o arquivo em si.

Monitore tentativas de autenticação NTLM (handshake Net-NTLMv2) originadas de estações de trabalho para endereços IP externos ou não corporativos, especialmente em portas 445 (SMB) ou associadas a WebDAV (80/443) — esse tráfego de saída para hosts desconhecidos na internet é o indicador mais confiável, já que a maioria das redes não deveria permitir SMB de saída. Complementarmente, busque a presença de arquivos .library-ms em anexos de e-mail, downloads ou conteúdo extraído de ZIPs recebidos, e habilite auditoria de Attack Surface Reduction/EDR para esse tipo de arquivo.

Não há uma assinatura de exploração universal publicada pela CISA ou Microsoft para esta CVE — a detecção depende de correlação de logs de firewall/proxy com eventos de autenticação NTLM anômala, não de um IOC único e confiável.