مختبر أبحاث CVE-2025-53770

يبدو أن هذا المستودع مشروع بحثي لإثبات المفهوم للتحقق من مشكلة إلغاء التسلسل ومعالجة جزء الأدوات (ToolPane) بأسلوب SharePoint في بيئة مختبرية خاضعة للتحكم. يتضمن برنامج تشغيل بلغة Python، وتطبيقًا وهميًا قابلًا للاستغلال، وموارد حاويات للاختبار المعزول.

[!WARNING] يجب استخدام هذا المشروع فقط في الأنظمة أو الحاويات أو الشبكات التي تملكها أو التي لديك إذن صريح لاختبارها. لا تقم بتشغيل هذا الكود ضد البنية التحتية العامة أو خدمات الطرف الثالث أو بيئات الإنتاج أو أي هدف دون إذن كتابي. قد يشكل الاختبار الأمني غير المصرح به مخالفة للقانون أو العقد أو السياسة أو شروط الاستخدام المقبول.

يجب التعامل مع محتويات هذا المستودع باعتبارها مادة بحثية أمنية حساسة. إذا استخدمت هذا المشروع لأعمال التقييم، فاحرص على عزل التنفيذ، وسجّل جميع الأنشطة، ونسّق مع مالك النظام قبل الاختبار.

نطاق المشروع

يحتوي المستودع حاليًا على:

• sploit.py: برنامج تشغيل بلغة Python غير متزامن يرسل طلبات مصمّمة بعناية إلى نقطة نهاية ToolPane.
• lab/mock_vulnerable_app.cs: تطبيق ASP.NET وهمي يعكس علامة تحقق، وبشكله الحالي يمكنه تنفيذ أمر معلوم داخل حاوية المختبر.
• lab/docker-compose.yml: مختبر محلي من حاويتين يفصل الهدف الوهمي عن طرفية المهاجم.
• lab/Dockerfile: بناء .NET متعدد المراحل ينشر التطبيق الوهمي القابل للاستغلال في صورة أصغر لوقت تشغيل ASP.NET ويشغّله كمستخدم غير جذر.
• lab/attacker.Dockerfile: تعريف حاوية المهاجم بلغة Python، يثبّت مسبقًا مجموعة تبعيات السكربت اللازمة لطرفية المختبر.
• lab/vulnerable.csproj: ملف مشروع ويب .NET 6 للتطبيق الوهمي القابل للاستغلال.
• lab/genGadget.py: سكربت مساعد لتوليد حمولة Base64 مضغوطة لاختبار إلغاء التسلسل في المختبر فقط.

الإعداد والاستخدام

سير العمل هذا مخصص للمختبر المحلي فقط.

المتطلبات الأساسية:

• محرك Docker مع دعم Compose
• طرفية محلية بصلاحية تشغيل أوامر Docker

ابدأ المختبر من دليل lab/:

cd lab
docker-compose up --build -d

إذا كانت بيئة Docker لديك تتطلب صلاحيات مرتفعة، فشغّل الأوامر نفسها باستخدام sudo.

تأكد من أن الحاويتين تعملان:

docker-compose ps

عرض السجلات في حال وجود مشكلات أو للتحقق من الاستغلال:

docker logs sp_attacker
docker logs sp_vulnerable_lab

المختبر معزول عن قصد:

• تعمل حاوية الهدف على شبكة lab_net الداخلية؛
• لا تُنشر أي منافذ إلى المضيف؛
• حاوية المهاجم متاحة كطرفية مؤقتة داخل نفس الشبكة الخاصة.

افتح طرفية داخل حاوية المهاجم:

docker exec -it sp_attacker bash

من داخل حاوية المهاجم، يمكنك تنفيذ فحوصات آمنة للمختبر مثل تأكيد أن الهدف يمكن الوصول إليه واختبار السكربت في وضع التحقق ضد الهدف الوهمي:

python3 sploit.py http://sp_vulnerable_lab/
# If service-name DNS resolution fails in your environment, use the lab IP:
# python3 sploit.py http://10.10.10.5
# If you wish to go past base validation you can include wanted commands.
python3 sploit.py http://sp_vulnerable_lab whoami

السلوك المتوقع في بيئة المختبر المحلية الوهمية:

• يجب أن يكون الهدف قابلًا للوصول عبر http://sharepoint-target من حاوية المهاجم؛
• يُرجع التطبيق الوهمي علامة حتمية للتحقق؛
• تبقى أي نواتج ناتجة عن السكربت داخل مساحة عمل المختبر المركّبة.

ملاحظات تشغيلية:

• أبقِ المختبر معزولًا عن الشبكات الخارجية ولا تنشر خدمة الهدف إلى المضيف؛
• لا تُعد استخدام هذه البيئة للتقييم في بيئات الإنتاج؛
• إذا عدّلت التطبيق الوهمي أو تعريفات الحاويات، أعد بناء الصور قبل إعادة الاختبار.

التنظيف

أوقف الحاويات والشبكة الخاصة بالمختبر وأزلها:

cd lab
docker-compose down

إذا أردت إزالة الصور المُبنية أيضًا:

docker-compose down --rmi local

إذا أردت إعادة تعيين كاملة لنواتج مساحة عمل المختبر، فاحذف أي ملفات نتائج مولّدة بعد الإيقاف:

rm -f vuln.lst

ممارسة التنظيف الموصى بها بعد كل تمرين:

1. أوقف المختبر باستخدام docker-compose down؛
2. أزل نواتج النتائج التي يجب ألّا تبقى؛
3. أعد بناء المختبر قبل التشغيل التالي إذا غيّرت الكود أو التبعيات أو إعدادات الحاويات.

ملخص التحقق

المشروع صالح هيكليًا كمختبر بحثي محلي، لكن لا ينبغي التعامل معه بشكله الحالي كأداة تحقق آمنة للإنتاج.

ما يعمل بشكل صحيح:

• البنية الطوبولوجية للمختبر بسيطة وقابلة لإعادة الإنتاج.
• يمكن لبرنامج تشغيل Python اختبار هدف واحد أو قائمة أهداف.
• يوفّر التطبيق الوهمي مؤشرات نجاح حتمية للتحقق في المختبر.

ما يتطلب الحذر:

• يتضمن السكربت الرئيسي سلوك تنفيذ أوامر صريحًا عند تمرير وسيط ثانٍ.
• تعطيل التحقق من TLS في الطلبات الصادرة.
• تُكتب النتائج الإيجابية في vuln.lst، مما قد يخلق بيانات حساسة متبقية غير ضرورية.
• ينفّذ التطبيق الوهمي إدخال الصدفة مباشرة، ولا ينبغي أبدًا كشفه خارج مختبر معزول.

المنهجية

استخدم هذا المشروع فقط للتحقق المتحكم به من الاكتشاف والتعرض، وليس للاستغلال التشغيلي.

المنهجية الموصى بها:

1. أنشئ بيئة مختبرية معزولة بدون أي تعرض خارجي.
2. تحقق من حدود الشبكة بحيث لا يتمكن من الوصول إلى الخدمة الوهمية سوى الباحث.
3. شغّل هدف المختبر وتأكد من أن التطبيق يستجيب لنقطة النهاية المقصودة.
4. استخدم برنامج التشغيل فقط في وضع التحقق غير التدميري للتأكد مما إذا كان الهدف يعكس العلامة المتوقعة.
5. التقط نواتج الطلبات والاستجابات للتوثيق، ثم دمّر بيئة المختبر بعد الاختبار.

لأعمال التقييم في العالم الحقيقي، المعيار الأكثر أمانًا هو استبدال التحقق بأسلوب الاستغلال بواحدة أو أكثر مما يلي:

• التحقق من الإصدار ومستوى التصحيح؛
• مراجعة الإعدادات الموثّقة؛
• تحليل سجلات طبقة الويب؛
• مراجعة بيانات EDR وSIEM وWAF؛
• مؤشرات الاختراق وفحوصات السلامة المقدمة من البائع.

الأثر

إذا كان الهدف عرضة فعليًا لثغرة إلغاء تسلسل في مكوّن تطبيق مميز، فقد يكون الأثر المحتمل وخيمًا:

• تنفيذ كود عن بُعد في السياق الأمني للخدمة المتأثرة؛
• فقدان سرية بيانات التطبيق وبيانات الاعتماد والأسرار؛
• فقدان السلامة عبر العبث بالمحتوى أو الإعدادات؛
• تدهور التوفر بسبب أوامر تدميرية أو إجراءات لاحقة؛
• فرص للحركة الجانبية إذا كان المضيف يتمتع بصلاحيات شبكة أو هوية واسعة.

حتى في المختبر، ترفع دلالات تنفيذ الأوامر المخاطر بشكل كبير لأنها تطبّع سير عمل يجب أن يقتصر على تحقيق مُصرّح به وخاضع لرقابة مشددة.

التخفيفات

مسار التخفيف المناسب هو دفاعي ومتعدد الطبقات.

إجراءات فورية:

1. طبّق التحديثات الأمنية للبائع والإرشادات الطارئة لإصدار المنتج المتأثر.
2. أزل التعرض العام أو قيّد الوصول إلى سطح التطبيق القابل للاستغلال.
3. بدّل بيانات الاعتماد وراجع حسابات الخدمة المميزة إذا كان هناك اشتباه في الاختراق.
4. افحص السجلات والمهام المجدولة والعمليات الفرعية والاتصالات الصادرة بحثًا عن أنشطة ما بعد الاستغلال.
5. حافظ على الأدلة قبل التنظيف إذا كانت البيئة قد تكون مخترقة بالفعل.

إجراءات التحصين:

1. فرض تجزئة الشبكة حول SharePoint أو طبقات التطبيق المكافئة.
2. ضع الخدمة خلف وكيل عكسي أو جدار حماية تطبيقات الويب WAF أو أي عنصر تحكم بالتصفية مكافئ.
3. قلّل صلاحيات حساب الخدمة وقدرات التنفيذ المحلي أينما أمكن.
4. فعّل التسجيل المركزي والتنبيه للطلبات المشبوهة الموجهة إلى /_layouts/15/ToolPane.aspx والمسارات الإدارية المجاورة.
5. راقب إنشاء العمليات غير المتوقع من سياق عامل التطبيق.

تخفيفات خاصة بمختبر الأبحاث:

1. أبقِ المختبر على شبكة جسر معزولة دون نشر منافذ إلى المضيف.
2. أزل كود تنفيذ الأوامر من التطبيق الوهمي إلا إذا كان مطلوبًا بشكل صارم لتوضيح خاضع للتحكم.
3. افصل التحقق غير الضار عن أي وظيفة خطيرة في سكربتات أو فروع مختلفة.
4. تجنب تخزين قوائم الأهداف الإيجابية إلا إذا كانت هناك حاجة موثقة للاحتفاظ بها.
5. دمّر وأعد بناء المختبر بعد كل تمرين.

إخلاء المسؤولية

لا يوفّر ملف README هذا إرشادات لاستغلال الأنظمة الحية. بل يوثّق المستودع كأداة بحثية خاضعة للتحكم، ويعرض ممارسات أكثر أمانًا للتحقق والتخفيف.

المراجع

• CVE.org: CVE-2025-53770 - سجل CVE الرسمي مع بيانات CNA ونطاقات الإصدارات المتأثرة وCVSS والمراجع المرتبطة.
• NVD: تفاصيل CVE-2025-53770 - إثراء NIST وتغطية CPE وربط CWE وتجميع المراجع.
• دليل تحديثات الأمان من Microsoft: CVE-2025-53770 - نشرة البائع الأساسية مع معلومات الأثر وقابلية الاستغلال والتخفيفات وتحديثات الأمان.
• Microsoft Learn: تكوين تكامل AMSI مع SharePoint Server - إرشادات التحصين من Microsoft المشار إليها في نشرة البائع للتخفيف والتحقق.
• مدونة Microsoft MSRC: إرشادات العملاء لثغرة SharePoint CVE-2025-53770 - إرشادات البائع وسياق الاستجابة للاستغلال النشط.
• تنبيه CISA: مايكروسوفت تصدر إرشادات حول استغلال ثغرة SharePoint CVE-2025-53770 - تنبيه الحكومة الأمريكية وإرشادات الاستجابة التشغيلية.
• إدخال CISA في كتالوج الثغرات المستغلة المعروفة لـ CVE-2025-53770 - تأكيد أنه تمت إضافة الثغرة إلى KEV مع المواعيد النهائية للمعالجة وإرشادات الإجراءات.

المؤلف

• J4ck3LSyN
• github