CVE-2025-54918提權漏洞風險高！解析如何利用強制身分驗證攻擊（如 PetitPotam）搭配 DNS 污染與 NTLM relay 繞過 LDAP 驗證，並提供系統 Patch 更新建議以強化企業 Windows 安全。
CVE-2025-54918是個提權手法，它攻擊手法是搭配Windows的強制身分驗證攻擊(authentication coercion attack)達到NTLM relay繞過LDAP驗證，影響OS版本包含win10、win11、windows server 2010~2025。
強制身分驗證攻擊是指利用信任關係去強迫目標機器主動發出身分驗證請求，並非傳統意義上的漏洞利用，因此更難防禦。
強迫目標機器去對服務進行身分驗證，接著再透過攔截取得驗證資訊，偷取的驗證資訊可以拿來重複利用，過去有名的幾個強制身分驗證攻擊有:Printerbug、PetitPotam、DFSCoerce等。
Pinterbug顧名思義是針對印表機的漏洞，利用印表機的MS-RPRN服務，低權限domain user可以透過SMB強迫Print Spooler服務給予攻擊者認證，並利用監聽工具側錄到目標機器的TGT。
PetitPotam這是被稱為小河馬的漏洞，他濫用了MS-EFSRPC協定，這個協定是加密檔案系統遠端協定，攻擊手法是低權限domain user可以透過RPC協定來對DC發出NTLM認證，並利用NTLM轉送攻擊取得ADDC。
DFSCoerce是濫用MS-DFSNM協定，這個協定是用於分散式檔案系統命名空間管理協定，和上述小河馬一樣的攻擊手法，低權限的domain user透過對DC發出NTLM認證取得ADDC。
CVE-2025-54918的攻擊流程是先汙染DNS用於監聽，接著利用強制身分驗證攻擊(範例中使用PetitPotam)，使用ntlmrelayx工具讓低權限domain user取得dcsync權限。
我們參考了此篇POC的流程https://github.com/Wh0am123/CVE-2025-54918-POC前置條件:server還沒上patch+低權限domain user
從指令中得到了這些資訊 : 機器使用windows server 2022，機器本身還沒上patch，AD資訊domain:testgcb.com、我們有bob普通domain user帳號，因為沒有高權限因此也不能dcsync。
接著開好ntlmrelayx進行監聽，監聽ldaps並且選擇escalate-user，目的是在攔截到bob時能將他提權為高權限使用者。
開新視窗，進行DNS汙染，利用krbrelayx裡的dnstool來把汙染原本的DNS record要指向我們攻擊者的IP :
汙染成功後，再進行PetitPotem攻擊 :
可以回到原本的ntlmrelayx看到回應，成功的話訊息會向下面連線成功並且告知成功給予Dcsync權限。
看到攻擊成功訊息之後就可以用提權後的bob進行dcsync，可以取得整台機器的credential。
這已經是2025年9月的漏洞了，但影響了幾乎全部windows機器，因此建議再次檢查所有機器包含平時測試用的虛擬機，是否有補好patch更新。
有任何資安問題，歡迎隨時與NEITHNET團隊聯繫！
參考來源：
1、https://nvd.nist.gov/vuln/detail/CVE-2025-54918
2、https://github.com/Wh0am123/CVE-2025-54918-POC
