CVE-2025-53770 Scanner von DanSec

Ein einfaches, effektives Aufklärungstool zur Identifizierung potenzieller Gefährdung durch die kritische SharePoint-Sicherheitslücke CVE-2025-53770.

[!Warning]

Dieses Tool ist ausschließlich für autorisierte Testzwecke bestimmt.
Der Autor (DanSec) übernimmt keinerlei Verantwortung für Missbrauch oder Schäden, die durch unbefugtes Scannen oder unbefugte Nutzung verursacht werden. Stellen Sie sicher, dass Sie vor der Verwendung dieses Tools die ausdrückliche Genehmigung zum Scannen einer Domäne oder eines Dienstes haben.

Über CVE-2025-53770

CVE-2025-53770 („ToolShell") ist eine kritische Sicherheitslücke, die On-Premises-SharePoint-Server-Versionen 2016, 2019 und Subscription Edition betrifft.

Sie ermöglicht eine nicht authentifizierte Remote-Codeausführung (RCE) über:

• Umgehung der Authentifizierung durch Header-Spoofing (CVE-2025-53771)
• Hochladen einer schädlichen ASPX-Web-Shell (spinstall0.aspx)
• Extrahieren kryptografischer Geheimnisse aus web.config
• Unsicheres Deserialisieren unter Ausnutzung von ViewState, um Code remote auszuführen

Diese Sicherheitslücke wurde aktiv ausgenutzt und hat weltweit dringende Warnungen von Behörden ausgelöst.

Ausführliche Informationen:

• Microsoft-Sicherheitshinweis
• Trend-Micro-Analyse
• Rapid7-Analyse

Was macht dieser Scanner?

• Führt eine Subdomänen-Enumeration durch (mit Sublist3r und crt.sh), um potenzielle SharePoint-Hosts zu identifizieren.
• Überprüft jede entdeckte Subdomäne sicher auf Anzeichen einer Anfälligkeit für CVE-2025-53770.
• Gibt die Ergebnisse in einer strukturierten CSV-Datei zur einfachen Überprüfung aus.

Dieser Scanner nutzt die Sicherheitslücke NICHT aus. Er identifiziert lediglich potenzielle Angriffspunkte.

Installation

Klonen Sie das Repository und installieren Sie die Abhängigkeiten:

git clone https://github.com/Sec-Dan/CVE-2025-53770-Scanner.git
cd CVE-2025-53770-scanner
pip install -r requirements.txt

Verwendung

python spScanner.py <target_domain> [options]

Beispiel:

python spScanner.py example.com --threads 5 --retries 2

Verfügbare Flags

Ergebnisse interpretieren

• VERWUNDBAR (Rot): HTTP-200-OK-Antworten, potenziell anfällig
• SAUBER (Grün): Andere HTTP-Antworten, wahrscheinlich nicht gefährdet
• FEHLER (Gelb): Verbindungs- oder Netzwerkfehler

Die resultierende CSV-Datei enthält einen detaillierten Status für jede gescannte Subdomäne.

Verantwortungsvolle Nutzung

• Holen Sie vor dem Scannen immer eine ausdrückliche Genehmigung ein.
• Informieren Sie die Beteiligten (Stakeholder), bevor Sie Scans starten, insbesondere in sensiblen Umgebungen.
• Verwenden Sie das Tool nur auf Systemen, die Sie besitzen, verwalten oder für die Sie eine ausdrückliche Zustimmung zum Testen haben.

Probleme & Beiträge

Einen Fehler gefunden oder einen Feature-Wunsch? Eröffnen Sie ein Issue oder einen Pull-Request!

Bleiben Sie sicher und viel Spaß beim Scannen!
— DanSec