Una vulnerabilidad recientemente descubierta afecta al Explorador de Windows, permitiendo a un atacante filtrar credenciales sin interacción explícita del usuario. Esta brecha se debe a la confianza implícita que el sistema da a los archivos .library-ms y su comportamiento de procesamiento automático tras la extracción.
Comportamiento del Explorador de Windows
El Explorador de Windows analiza automáticamente ciertos tipos de archivo después de su extracción, incluyendo los archivos .library-ms. Estos archivos se basan en el formato XML y se utilizan para definir ubicaciones de búsqueda y bibliotecas. Tras la extracción, el servicio de indexación y el mecanismo integrado de análisis de archivos procesan inmediatamente su contenido para generar vistas previas, miniaturas o metadatos.
Exploit mediante archivos manipulados
Cuando un archivo .library-ms especialmente diseñado contiene una ruta SMB apuntando a un servidor controlado por el atacante, el Explorador de Windows intenta resolver automáticamente esta ruta. Esta acción activa un protocolo de enlace de autenticación NTLM implícito desde la víctima al servidor SMB, lo que permite que el hash NTLMv2 se envíe sin interacción explícita del usuario.
Actualización del CVE
Microsoft ha actualizado el número de vulnerabilidad asociado. El CVE previamente asignado, CVE-2025-24071, ahora se denomina CVE-2025-24054.
Explotación activa
Esta vulnerabilidad está siendo explotada activamente y ya ha sido publicada en el foro xss.is por el actor de amenazas conocido como «Krypt0n». Este actor también es responsable del desarrollo del malware denominado «EncryptHub Stealer».
Respuesta de Microsoft
El analista 0x6rss ha creado un exploit y una demostración de la explotación. Microsoft ya solucionó esta vulnerabilidad en el martes de parches de marzo, por lo que se recomienda actualizar a la brevedad.