تحليل حادث SOC: تصعيد الامتيازات في خادم Microsoft SharePoint (CVE-2023-29375)

تحقيق أمني متعمق في محاولة حرجة للاستغلال والتعداد استهدفت خادم Microsoft SharePoint.

نظرة عامة على الحادث

• اسم التنبيه: SOC227 - Microsoft SharePoint Server Elevation of Privilege - Possible CVE-2023-29375 Exploitation
• الخطورة: حرجة
• التاريخ/الوقت: 6 أكتوبر 2023، 08:05 مساءً
• اسم المضيف المستهدف: MS-SharePointServer
• عنوان IP / المنفذ المستهدف: 172.16.17.233:443 (HTTPS)
• عنوان IP المصدر (المهاجم): 39.91.166.222
• وكيل المستخدم: python-requests/2.28.1
• إجراء الجهاز: مسموح / مصرح به

---

التحقيق الفني والنتائج

1. الاكتشاف الأولي والأتمتة: أطلق نظام SIEM تنبيهاً حرجاً (SOC227) يحدد محاولات تعداد وتصعيد امتيازات آلية ضد نقاط نهاية API الخاصة بـ SharePoint باستخدام سكربت مكتوب بلغة Python (python-requests/2.28.1).
2. فحص نقاط نهاية API وتحليل الاستجابات:
   • أدى الطلب إلى /_api/web/siteusers/web/siteusers إلى استجابة HTTP 404 (غير موجود) (حجم الاستجابة: 1453 بايت).
   • أسفر الطلب اللاحق إلى /_api/web/currentuser عن استجابة HTTP 200 (موافق) (حجم الاستجابة: 1071 بايت)، مما يشير إلى نجاح المهاجم في استرجاع سياق الجلسة.

3. ربط معلومات التهديدات: كشف التحقق المتبادل من عنوان IP الخاص بالمهاجم (39.91.166.222) على VirusTotal أنه مُدرج كمصدر ضار من قبل العديد من بائعي الأمن (مرتبط بـ ASN 4837، China Unicom).