Ringkasan
CVE-2025-50154 adalah kerentanan pada Windows File Explorer yang dapat menyebabkan bocornya data otentikasi sensitif melalui jaringan. Microsoft mengklasifikasikan masalah ini sebagai spoofing, dengan kelemahan mendasar yang dikaitkan dengan CWE-200 (Pembocoran Informasi Sensitif).
Pada konfigurasi yang rentan, Windows Explorer mungkin melakukan otentikasi jaringan saat memproses metadata yang terkait dengan pintasan. Jika tujuan jarak jauh yang dirujuk dikendalikan oleh penyerang, penyerang dapat menyadap data tantangan-respons NTLM. Hal ini, tergantung pada kontrol keamanan organisasi, dapat memicu penyalahgunaan lanjutan seperti NTLM relay atau upaya menebak kata sandi secara offline.
Dalam blog ini, kami membahas CVE-2025-50154 berdasarkan penelitian yang dilakukan oleh mahasiswa pascasarjana yang mengikuti Program Beasiswa Keamanan Siber “ OPSWAT ”, serta memberikan panduan praktis untuk mengurangi risiko otentikasi NTLM yang dipaksakan.
Dampak dan Risiko
CVE-2025-50154 diumumkan pada 12 Agustus 2025, dan memengaruhi sejumlah rilis klien dan server Windows yang didukung (keluarga Windows 10/11 dan Windows Server ) yang dirilis sebelum versi yang telah diperbaiki. Kerentanan ini diberi peringkat CVSS v3.1 6,5 (Sedang).
Dampak keamanan utamanya adalah terbongkarnya kredensial: seorang penyerang dapat memperoleh data tantangan-respons NTLM dengan memaksa Explorer untuk melakukan otentikasi ke titik akhir yang dikendalikan penyerang. Tergantung pada lingkungannya, hal ini dapat dimanfaatkan untuk:
• Relai NTLM (spoofing): melakukan otentikasi ke layanan lain dengan menyamar sebagai korban ketika perlindungan relai tidak ada atau salah konfigurasi.
• Menebak/memecahkan kata sandi secara offline: upaya untuk mengungkap kata sandi yang lemah dari data tantangan-respons yang telah direkam.
Kelayakan sangat bergantung pada pengendalian di tingkat perusahaan, seperti penandatanganan SMB, pembatasan NTLM, segmentasi jaringan, dan penguatan keamanan di sisi layanan.
Skenario Serangan
CVE-2025-50154 merupakan masalah otentikasi yang dipaksakan. Saat Windows Explorer memproses pintasan yang merujuk ke lokasi SMB/UNC jarak jauh, aplikasi tersebut mungkin akan memulai koneksi SMB selama proses penampilan normal atau validasi jalur. Akibatnya, titik akhir jarak jauh dapat menerima data pertukaran otentikasi NTLM yang dihasilkan selama proses penyiapan sesi.
Skenario serangan yang umum terjadi adalah sebagai berikut:
- Persiapan penyerang: Penyerang mengendalikan sebuah server SMB dan menyiapkan folder bersama yang dirujuk oleh pintasan tersebut.
- Penempatan pintasan: Sebuah berkas .lnk yang mengarah ke jalur SMB yang dikendalikan penyerang disebarkan ke lingkungan korban melalui saluran umum (misalnya, lampiran phishing, folder yang disinkronkan, repositori berkas bersama, atau titik pijakan yang sudah ada).
- Akses yang dipicu oleh Explorer: Saat korban menjelajahi direktori yang berisi pintasan tersebut, Windows Explorer mengurai metadata pintasan dan mungkin mencoba mengidentifikasi target jarak jauh sebagai bagian dari pemrosesan antarmuka pengguna rutin.
- Otentikasi implisit: Selama proses penyiapan sesi SMB, Windows melakukan otentikasi dalam konteks pengguna (biasanya melalui NTLM). Korban tidak perlu menjalankan target pintasan agar proses pertukaran otentikasi dapat berlangsung.
- Hasil setelah penangkapan (bergantung pada lingkungan): Bergantung pada pengaturan lingkungan, data NTLM yang berhasil ditangkap dapat dimanfaatkan untuk relay NTLM atau pemecahan kata sandi secara offline. Kelayakan praktisnya dipengaruhi oleh faktor-faktor seperti penandatanganan SMB, pembatasan NTLM, dan segmentasi jaringan.
Latar Belakang Teknis
Windows Explorer dan Penampilan Pintasan
Windows Explorer (explorer.exe) adalah proses shell Windows yang menampilkan daftar isi direktori dan menampilkan antarmuka pengguna File Explorer, serta memanggil komponen-komponen Shell (misalnya, penangan ikon, overlay, dan thumbnail) untuk mengambil dan menampilkan ikon, overlay, dan thumbnail.
Pintasan Windows (.lnk) bukanlah sekadar penunjuk teks; melainkan format metadata terstruktur yang dapat menyimpan jalur tujuan (jalur lokal atau jalur UNC/SMB), argumen opsional dan direktori kerja, serta referensi ikon terpisah. Selama penjelajahan folder biasa, Explorer mengurai metadata pintasan untuk menampilkan pintasan tersebut di antarmuka pengguna (misalnya, menampilkan ikon dan memvalidasi tujuan). Tergantung pada target yang dirujuk dan metadata terkait, pemrosesan ini dapat menyebabkan Explorer mencoba mengakses jaringan sebagai bagian dari proses penampilan rutin atau verifikasi jalur.
Otentikasi NTLM melalui SMB
Dalam berbagi file di Windows, otentikasi SMB biasanya lebih mengutamakan Kerberos di lingkungan domain, tetapi NTLM tetap dapat dinegosiasikan jika Kerberos tidak tersedia atau tidak dipilih. NTLM adalah protokol tantangan-respons: klien terlebih dahulu mengumumkan kemampuannya, server mengirimkan tantangan (nonce), dan klien merespons dengan pesan otentikasi yang diturunkan dari tantangan tersebut dan rahasia pengguna—tanpa mengirimkan kata sandi dalam bentuk teks biasa.
Varian NTLM dan kondisi keamanan (NTLMv1 vs NTLMv2)
NTLM memiliki beberapa varian. Lingkungan Windows modern umumnya menggunakan NTLMv2 dan sebaiknya menghindari LM/NTLMv1 yang sudah usang sebisa mungkin.
NTLMv1 secara luas diakui sebagai protokol yang tidak aman karena beberapa alasan utama (enkripsi yang lemah, kunci dengan entropi rendah, kerentanan relay, risiko peretasan offline, dan sebagainya).
Untuk memperbaikinya, Microsoft memperkenalkan NTLMv2, yang memperkuat proses perhitungan respons. Dalam praktiknya, NTLMv2 menggantikan konstruksi respons model DES yang lebih lama dengan skema berbasis HMAC-MD5 serta memasukkan konteks tambahan ke dalam respons, sehingga menjadikannya jauh lebih tangguh daripada NTLMv1 dalam menghadapi beberapa jenis teknik pemulihan offline.
Meskipun sudah menggunakan NTLMv2, organisasi tetap harus menganggap NTLM sebagai protokol otentikasi yang berisiko lebih tinggi dibandingkan Kerberos dan menerapkan langkah-langkah pengamanan berlapis (misalnya, penandatanganan SMB dan segmentasi) untuk meminimalkan dampak skenario otentikasi paksa.
Mengapa NTLM tetap menjadi sasaran yang sering diserang
Meskipun NTLM merupakan protokol tantangan-respons, protokol ini tetap menarik bagi penyerang karena pertukaran otentikasi dapat langsung digunakan dalam kondisi jaringan yang tidak aman. Selama proses penyiapan sesi SMB, titik akhir jarak jauh menerima metadata otentikasi dan nilai tantangan-respons yang diperlukan untuk mengotentikasi klien. Jika penyerang dapat mengendalikan titik akhir tujuan (misalnya, server SMB yang dikendalikan penyerang) atau dapat mencegat/memutuskan koneksi saat sedang berlangsung, mereka dapat menangkap data pertukaran NTLM dan mencoba melakukan penyalahgunaan lanjutan seperti NTLM relay atau menebak kata sandi secara offline, tergantung pada perlindungan yang ada di lingkungan tersebut
Windows juga mengintegrasikan NTLM ke dalam fitur Single Sign-On (SSO)-nya. Data kredensial yang berasal dari rahasia pengguna dikelola oleh LSASS dan dapat digunakan untuk mengautentikasi akses ke sumber daya jaringan (misalnya, berbagi SMB) tanpa perlu meminta pengguna berulang kali. Meskipun hal ini meningkatkan kemudahan penggunaan, hal ini memperluas permukaan serangan untuk skenario autentikasi paksa: ketika pintasan .lnk merujuk ke jalur SMB jarak jauh, Windows Explorer mungkin memulai koneksi SMB selama pemrosesan pintasan rutin dan secara otomatis menegosiasikan autentikasi.
Dalam konteks CVE-2025-50154, hal ini berarti data pertukaran otentikasi NTLM dapat dikirimkan ke titik akhir SMB yang dikendalikan penyerang tanpa korban perlu menjalankan target yang dimaksud, sehingga menciptakan jalur paparan kredensial yang tidak terdeteksi selama proses penelusuran folder biasa.
Analisis Teknis
Penerapan Ikon Explorer dan Pemrosesan Pintasan
Saat sebuah folder dibuka di File Explorer, Explorer akan menelusuri isi direktori tersebut dan menentukan jenis setiap item berdasarkan asosiasi file yang terdaftar (biasanya ditentukan oleh ekstensi file). Windows kemudian menggunakan pendaftaran kelas shell yang sesuai (misalnya, melalui pemetaan CLSID/ProgID yang terkait di registri) untuk menemukan penangan shell yang tepat — umumnya berupa komponen COM yang bertanggung jawab atas ekstraksi dan penampilan ikon. Explorer memanggil antarmuka yang relevan untuk mengambil dan menampilkan ikon tersebut.
Untuk berkas .lnk (Shell Link), Explorer biasanya tidak menampilkan ikon pintasan umum secara default. Sebaliknya, Explorer mengurai metadata pintasan tersebut, mencoba menentukan target yang dirujuk (serta informasi ikon terkait), dan kemudian menampilkan ikon yang terkait dengan target yang telah ditentukan tersebut.
Saat Explorer menampilkan berkas .lnk, ia menentukan ikon dengan memanggil fungsi CShellLink::GetIconLocation, yang mengidentifikasi dari mana ikon tersebut harus dimuat (misalnya, berkas biner tujuan, jalur ikon yang ditentukan secara eksplisit, atau ikon sistem default). Sebagai bagian dari alur ini, Explorer menginisialisasi ekstraksi ikon (_InitExtractIcon) dan kemudian menjalankan logika resolusi inti (_GetExtractIcon), yang mengevaluasi sumber ikon (melalui _CheckExtractLocation).
• Jika pintasan tersebut menentukan lokasi ikon lokal (misalnya, file yang dapat dieksekusi atau DLL di disk), Explorer akan memuat ikon tersebut langsung dari sumber daya tersebut.
• Jika lokasi ikon berupa URL jarak jauh, Explorer mungkin akan mengunduh ikon tersebut ke dalam cache lokalnya (misalnya, menggunakan URLDownloadToCacheFileW) dan kemudian memuat ikon tersebut dari salinan yang tersimpan di cache.
• Jika tidak ada sumber ikon yang valid, Explorer akan menggunakan ikon default yang disediakan oleh penangan sistem.
Setelah menyelesaikan metadata yang terkait dengan ikon, Explorer melanjutkan ke CShellLink::Extract, yang menangani target pintasan dan menyelesaikan alur kerja ekstraksi. Sebagai bagian dari proses ini, Explorer memanggil CShellLink::_ShortNetTimeout untuk menerapkan batas waktu jaringan yang lebih singkat ketika pintasan merujuk ke lokasi jarak jauh, sehingga mengurangi keterlambatan antarmuka pengguna jika target jaringan lambat atau tidak dapat dijangkau.
Ketika target diidentifikasi sebagai jalur jaringan (UNC), Explorer melakukan validasi target secara asinkron. Explorer membuat thread pekerja yang menjalankan fungsi CShellLink::_VerifyPathThreadProc, yang memeriksa apakah target yang dirujuk tersebut ada.
Dalam rutinitas ini, Explorer memanggil fungsi PathFileExistsAndAttributesW untuk memeriksa keberadaan dan atribut dasar target (misalnya, apakah berupa berkas atau direktori), yang pada gilirannya memerlukan upaya akses jaringan untuk target SMB/UNC.
Penyebab Utama Kerentanan
Dalam alur rendering pintas yang dijelaskan di atas, terdapat dua operasi keluar yang relevan:
• Pengambilan ikon melalui URLDownloadToCacheFileW (jika sumber ikon pintasan tersebut adalah URL jarak jauh).
• Validasi target melalui PathFileExistsAndAttributesW (jika target pintasan berupa jalur UNC/SMB).
Untuk memvalidasi perilaku fungsi URLDownloadToCacheFileW, kami menjalankan fungsi API dengan uji coba sederhana dan mandiri.
Aktivitas jaringan tersebut berupa permintaan HTTP konvensional, dan berdasarkan pengamatan kami, aktivitas tersebut tidak memaparkan data kredensial yang berkaitan dengan kerentanan ini.
Perilaku yang lebih signifikan terjadi pada fungsi `PathFileExistsAndAttributesW` ketika jalur yang dievaluasi merupakan target UNC/SMB. Selama proses debugging, kami mengamati bahwa pemeriksaan ini dapat memicu proses penyiapan sesi SMB dan melakukan negosiasi otentikasi dalam konteks pengguna saat ini.
Karena Explorer mungkin menjalankan validasi ini secara otomatis saat memproses berkas .lnk, titik akhir SMB yang dikendalikan penyerang dapat menerima data pertukaran otentikasi NTLM tanpa korban perlu menjalankan berkas yang dirujuk, sehingga menciptakan jalur paparan kredensial yang tersembunyi selama penelusuran folder rutin.
Bukti Konsep
Di sebuah laboratorium terisolasi, para peserta Program Beasiswa Keamanan Siber “ OPSWAT ” kami berhasil memvalidasi kerentanan CVE-2025-50154 dengan menggunakan pintasan (.lnk) yang merujuk ke jalur SMB/UNC jarak jauh. Pada sistem Windows yang rentan, sekadar menjelajahi folder tersebut di Windows Explorer sudah memicu koneksi SMB selama proses pemrosesan pintasan yang normal, sehingga data pertukaran otentikasi NTLM terkirim ke titik akhir jarak jauh—tanpa korban perlu menjalankan target pintasan tersebut.
Remediasi
Organisasi harus memastikan bahwa sistem operasi dan aplikasi mereka secara rutin diperbarui dan dijaga agar tetap terkini guna memitigasi kerentanan yang telah diketahui. Hal ini mencakup penerapan semua pembaruan keamanan Microsoft yang relevan serta memastikan bahwa semua titik akhir menjalankan versi Windows terbaru yang telah diperbaiki. Secara bersamaan, organisasi sebaiknya mengurangi permukaan serangan dengan memperketat akses SMB keluar jika diperlukan dan memperkuat pengendalian pengamanan NTLM/SMB sesuai dengan lingkungan mereka.
MetaDefender Endpoint™ mendukung upaya-upaya ini dan membantu menerapkannya secara luas dengan memberikan gambaran yang jelas mengenai paparan risiko dan kesiapan penerapan patch. Dengan kemampuan manajemen kerentanan dan patch yang andal yang mendukung lebih dari 1.100 aplikasi, MetaDefender Endpoint secara proaktif mengidentifikasi endpoint yang menjalankan versi Windows yang belum diperbarui atau sudah kedaluwarsa, serta aplikasi pihak ketiga, dan memberikan rekomendasi perbaikan.
Selain itu, melalui konsol manajemennya di My OPSWAT Central Management , administrator mendapatkan tampilan terpusat dan terpadu mengenai status keamanan endpoint, paparan kerentanan, dan pengelolaan patch—semuanya dalam satu platform untuk menetapkan dan menerapkan kebijakan keamanan di seluruh organisasi. Administrator juga dapat membuat dan menerapkan skrip khusus pada titik akhir yang telah menginstal MetaDefender Endpoint untuk mengotomatiskan tindakan penguatan keamanan terkait akses SMB dan penggunaan NTLM. Pendekatan ini mempermudah penegakan keamanan sekaligus memberikan umpan balik yang jelas mengenai hasil eksekusi, sehingga memungkinkan administrator untuk dengan cepat mengidentifikasi titik akhir yang mungkin memerlukan penyelidikan lebih lanjut atau intervensi manual.
MetaDefender Endpoint memungkinkan tim keamanan dan TI untuk memprioritaskan peluncuran, mempercepat proses perbaikan, memantau secara berkelanjutan kondisi keamanan organisasi, dan pada akhirnya mengurangi paparan terhadap Kerentanan dan Paparan Umum (CVE) seperti CVE-2025-50154 serta ancaman serupa yang menargetkan perangkat akhir.
