研究人员披露 Windows SMB 服务器权限提升漏洞（CVE-2025-58726）
内容提要
研究员Andrea Pierini发现了Windows漏洞CVE-2025-58726，攻击者可通过Kerberos认证反射缺陷，利用低权限账户远程获取SYSTEM级访问权限。该漏洞影响所有Windows版本，微软已发布修复程序。攻击利用Ghost SPN概念，可能影响其他依赖Kerberos的服务。
关键要点
-
研究员Andrea Pierini发现Windows漏洞CVE-2025-58726，攻击者可利用Kerberos认证反射缺陷远程获取SYSTEM级访问权限。
-
该漏洞影响所有Windows版本，除非强制启用SMB签名功能。
-
微软已在2025年10月发布修复程序。
-
攻击利用Ghost SPN概念，诱使Windows通过SMB向自身进行认证，从而提升权限。
-
Ghost SPN是指映射到无法解析主机名的服务主体名称，常见于大型或老化的Active Directory环境。
-
攻击链需要满足低权限域用户账户、目标设备已加入域且禁用SMB签名等条件。
-
攻击流程包括识别Ghost SPN、注册DNS记录、拦截认证等步骤。
-
该攻击绕过了针对CVE-2025-33073的补丁，漏洞存在于Kerberos协议本身。
-
其他依赖Kerberos的服务（如RDP、WMI或RPC/DCOM）在特定条件下也可能存在风险。
延伸解读
漏洞影响范围
CVE-2025-58726漏洞影响所有Windows版本，尤其是在未启用SMB签名的环境中。用户和企业应关注系统配置，确保SMB签名功能被强制启用，以降低被攻击的风险。
Ghost SPN的威胁
Ghost SPN概念在大型或老化的Active Directory环境中普遍存在，攻击者可利用这些无法解析的服务主体名称进行攻击。企业应定期审查和清理DNS记录，以减少潜在的攻击面。
攻击链条件
成功利用CVE-2025-58726的攻击链需要满足特定条件，包括低权限域用户账户和禁用SMB签名等。企业应加强对用户权限的管理，限制低权限账户的访问权限，以防止此类攻击。
延伸问答
CVE-2025-58726漏洞的主要影响是什么？
该漏洞允许攻击者通过Kerberos认证反射缺陷，利用低权限账户远程获取SYSTEM级访问权限，影响所有Windows版本。
如何利用CVE-2025-58726漏洞进行攻击？
攻击者需满足低权限域用户账户、目标设备已加入域且禁用SMB签名等条件，通过识别Ghost SPN、注册DNS记录和拦截认证等步骤实施攻击。
微软对CVE-2025-58726漏洞采取了什么措施？
微软已在2025年10月发布修复程序，修复措施实现在SRV2.SYS驱动程序中。
什么是Ghost SPN，它在CVE-2025-58726漏洞中有什么作用？
Ghost SPN是指映射到无法解析主机名的服务主体名称，攻击者利用它诱使Windows通过SMB向自身进行认证，从而提升权限。
CVE-2025-58726漏洞是否影响其他服务？
是的，其他依赖Kerberos的服务（如RDP、WMI或RPC/DCOM）在特定条件下也可能存在风险。
CVE-2025-58726漏洞的攻击链需要哪些条件？
攻击链需要低权限域用户账户、目标设备已加入域且禁用SMB签名、配置了Ghost SPN，并具备注册DNS记录的能力。
