La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) incorporó la vulnerabilidad CVE-2025-24054 a su Catálogo de Vulnerabilidades Explotadas Activamente (KEV). Esta vulnerabilidad, clasificada como de gravedad media con un CVSSv3 de 6.5, afecta al protocolo NTLM de Microsoft Windows y permite la divulgación de hashes.
Origen y características técnicas
CVE-2025-24054 se debe a un fallo en el control externo del nombre de archivo o ruta (CWE-73). El error permite a un atacante no autenticado suplantar la identidad a nivel de red manipulando archivos con extensión .library-ms. Microsoft corrigió el problema en el «Patch Tuesday» del mes anterior.
Explotación activa y técnicas empleadas
La explotación activa fue confirmada el 19 de marzo de 2025 según reportes de Check Point Research. Check Point detalla que la explotación se ha integrado en campañas de malspam que distribuyen enlaces a archivos alojados en Dropbox. Los archivos contienen ficheros .zip maliciosos diseñados para desencadenar solicitudes SMB desde Windows Explorer a servidores controlados por atacantes.
Impacto y ataques confirmados
La explotación exfiltra hashes NTLMv2-SSP sin requerir interacción adicional tras la descarga y descompresión. Ataques a entidades gubernamentales y privadas en Polonia y Rumania entre el 20 y 21 de marzo de 2025. Campañas posteriores han empleado el archivo Info.doc.library-ms sin compresión, evitando mecanismos de detección basados en análisis de paquetes.
Relación con vulnerabilidades previas
CVE-2025-24054 es una variante de CVE-2024-43451, explotada previamente por grupos como UAC-0194 y Blind Eagle. Los actores mencionados aprovechan los hashes obtenidos para facilitar movimientos laterales y escalada de privilegios dentro de redes comprometidas.
Reconocimiento del descubrimiento
Microsoft reconoce la autoría del descubrimiento a investigadores independientes, incluyendo a Rintaro Koike (NTT Security Holdings), 0x6rss y j00sean.
Fecha límite para parches
CISA estableció el 8 de mayo de 2025 como fecha límite para que agencias federales implementen los parches correspondientes.