CVE-2025-33073：Windows SMB客户端高危提权漏洞已在野活跃利用，建议立即打补丁

安全研究员最新发现，威胁者正积极利用Windows系统中的一个SMB客户端高危权限提升漏洞，在未打补丁的设备上获取SYSTEM最高权限（系统最高权限）。

该漏洞编号为CVE-2025-33073，根源是访问控制不当（Improper Access Control）。它影响以下系统：

• 所有版本的Windows Server
• 所有版本的Windows 10
• Windows 11最高至 24H2 版本

微软已在2025年6月“补丁星期二”中修复该漏洞。攻击者仅需网络访问权限和任意域用户凭证（无需管理员权限），即可通过诱导受害者连接恶意SMB服务器实现远程提权，尤其在未强制启用SMB签名的环境下风险更高。

漏洞利用原理（微软官方描述）

1. 攻击者诱骗受害者设备连接到由其控制的恶意SMB服务器；
2. 恶意服务器破坏SMB协议流程（涉及NTLM反射或Kerberos反射绕过现有缓解措施）；
3. 通过特制脚本迫使受害者设备回连攻击者系统完成认证，最终以SYSTEM权限执行任意代码。

该漏洞本质上复活了曾被认为已缓解的NTLM反射攻击，允许认证后的远程命令执行，而无需SMB签名即可成功。

Guide to Privilege Escalation: Risks and Defense Strategies | Fidelis Security

重要提醒：微软在安全公告中指出，该漏洞相关信息在补丁发布前已公开。CISA已将其纳入已知被利用漏洞目录（KEV），证实存在活跃利用行为，但微软尚未正式确认在野利用细节。

CISA紧急要求与修复建议

根据约束性作指令（BOD 22-01），联邦民用执行机构（FCEB）需在11月10日前完成系统加固，修复窗口期为三周。

CISA强烈建议所有企业和组织尽快应用2025年6月补丁，因为该漏洞正被活跃利用，风险极高。未打补丁的域加入设备（尤其是域控制器）可能面临严重威胁，甚至导致整个域环境被接管。

额外缓解措施：

• 强制启用SMB签名（SMB Signing），可有效阻断此类反射攻击（即使未打补丁也能提供一定防护）。
• 限制不必要的SMB客户端连接，监控异常SMB流量。
• 使用EDR/XDR工具检测PowerShell或可疑提权行为。

Image problem : r/ChatGPT

安全建议总结

1. 立即检查并部署2025年6月Patch Tuesday安全更新，覆盖所有Windows 10/11/Server系统。
2. 优先为域控制器和关键服务器打补丁。
3. 审计网络中SMB配置，确保强制签名（尤其是域环境）。
4. 监控CISA KEV目录更新，关注后续利用情报。

该漏洞再次提醒我们：即使是看似“内部”协议（如SMB），一旦存在逻辑缺陷，也可能成为攻击者从域用户权限直接跃升至SYSTEM的捷径。及时修补 + 配置强化是当前最有效的防御策略。