Una vulnerabilidad crítica en la autenticación del cliente SMB de Windows permite a los atacantes comprometer entornos de Active Directory mediante la explotación de reflexión NTLM. Clasificada como una vulnerabilidad de control de acceso inadecuado, esta falla permite a atacantes autorizados escalar privilegios a través de ataques de retransmisión de autenticación cuidadosamente orquestados en conexiones de red.

Una vulnerabilidad crítica en la autenticación del cliente SMB de Windows permite a los atacantes comprometer entornos de Active Directory mediante la explotación de reflexión NTLM.

Clasificada como una vulnerabilidad de control de acceso inadecuado, esta falla permite a atacantes autorizados escalar privilegios a través de ataques de retransmisión de autenticación cuidadosamente orquestados en conexiones de red.

Siete meses después del lanzamiento del parche de seguridad de junio de 2025, investigaciones revelan una adopción generalizada no implementada en infraestructuras empresariales.

Se identifican hosts vulnerables en casi todas las pruebas de penetración en controladores de dominio, servidores de nivel cero y estaciones de trabajo. La vulnerabilidad explota un mecanismo fundamental en la autenticación local NTLM de Windows.

Cuando un cliente recibe un mensaje NTLM_CHALLENGE marcado para autenticación local, el sistema crea un objeto de contexto e inserta un ID de contexto en el campo Reserved.

Este mecanismo, combinado con técnicas de coerción como PetitPotam, DFSCoerce y Printerbug, fuerza a lsass.exe (ejecutándose como SYSTEM) a autenticarse en servidores controlados por el atacante.

El servidor luego suplantará el token SYSTEM para operaciones posteriores, otorgando efectivamente un compromiso total del sistema.

Requisitos del ataque y rutas de explotación

La explotación requiere registrar un registro DNS malicioso en AD DNS (permitido para Authenticated Users de forma predeterminada) o realizar envenenamiento de DNS dentro de la red local.

Estos requisitos de bajo privilegio aumentan fundamentalmente la superficie de ataque, ya que la mayoría de las organizaciones no han restringido a los Authenticated Users la creación de registros DNS arbitrarios en zonas AD DNS.

Las mitigaciones tradicionales resultan insuficientes contra vectores de explotación avanzados.

Aunque la firma SMB normalmente previene ataques de retransmisión, investigaciones demuestran retransmisiones exitosas entre protocolos desde SMB a LDAPS con firma y enlace de canal aplicados.

Este bypass implica eliminar banderas específicas de NTLMSSP (Negotiate Always Sign, Negotiate Seal, Negotiate Sign) mientras se preserva el Message Integrity Code. Esta técnica permite a los atacantes eludir múltiples controles de seguridad simultáneamente.

Superficie de ataque ampliada más allá de la firma SMB

La vulnerabilidad se extiende más allá de las retransmisiones SMB a SMB convencionales. Investigadores de DepthSecurity confirmaron ataques exitosos contra servicios de inscripción de ADCS, bases de datos MSSQL y WinRMS mediante técnicas de retransmisión entre protocolos.

Aún más preocupante, los ataques de reflexión SMB a LDAPS permiten a los atacantes manipular objetos de Active Directory con privilegios SYSTEM directamente.

Habilitando la modificación de membresías de grupos y la recolección de credenciales mediante operaciones DCSync.

Los intentos de retransmisión basados en RPC revelaron requisitos de cifrado de claves de sesión similares a los de la firma SMB, demostrando que los mecanismos fundamentales de autenticación de Windows agravan el impacto de la vulnerabilidad.

Los atacantes logran autenticarse en servicios RPC pero encuentran controles de acceso en operaciones posteriores, lo que sugiere posibles vías de explotación mediante autenticación Net-NTLMv1.

Según DepthSecurity, las organizaciones deben aplicar inmediatamente las actualizaciones de seguridad de Windows de junio de 2025 como mitigación principal. Además, habilita la aplicación de firma y enlace de canal en todos los protocolos, no solo en SMB.

Reconfigurar las listas de control de acceso de zonas DNS de Active Directory para restringir a los Authenticated Users la creación de registros DNS reduce significativamente la viabilidad de la explotación.

Los equipos de seguridad deben priorizar la aplicación rápida de parches para técnicas de coerción NTLM y realizar auditorías exhaustivas de métodos de ataque de retransmisión NTLM en toda su infraestructura.