Una vulnerabilidad crítica RCE sin autenticación en SharePoint (CVE-2025-53770), ahora explotada activamente, que se basa directamente en la falla de suplantación CVE-2025-49706.

• Tipo: Ejecución Remota de Código (RCE) sin Autenticación

• Severidad: CVSS 9.8 (Crítico)

• Productos Afectados:

  • SharePoint Server 2016 (sin parche)
  • SharePoint Server 2019
  • SharePoint Server Subscription Edition

🔍 Causa Raíz

Según Microsoft, esta es una variante de CVE‑2025‑49706 e implica un manejo inadecuado de tokens de autenticación manipulados—combinado con cargas útiles maliciosas __VIEWSTATE—que llevan a la ejecución directa en procesos de trabajo de IIS.

⚔️ Ataques en el Mundo Real

🚨 Actualización de la Campaña ToolShell:

• Los atacantes están encadenando:

  • CVE‑2025‑49704 (error de deserialización)
  • CVE‑2025‑49706 (cabecera falsificada + bypass de autenticación)
  • CVE‑2025‑53770 (RCE sin autenticación)

• Dejando caer:

  • spinstall0.aspx web shell
  • Cargas útiles como SuspSignoutReq.exe
  • Herramientas de persistencia bajo w3wp.exe

🎯 Objetivos Afectados (basado en informes de MSRC):

• Sectores gubernamentales y educativos
• Portales de SharePoint locales
• Cualquier instancia de SharePoint expuesta a internet sin los parches de julio

🧪 Flujo de Ataque (Simplificado):

1. 📥 Solicitud maliciosa enviada al endpoint vulnerable (sin autenticación)
2. 🧾 Carga útil __VIEWSTATE inyectada o token falsificado elude la validación
3. 💣 Código ejecutado dentro de IIS (w3wp.exe) bajo NT AUTHORITY\SYSTEM
4. 🐚 Web shell subida, acceso remoto establecido
5. 🛰️ Comunicación C2 iniciada, comienza el movimiento lateral

🛡️ Mitigación y Parcheo

✅ Parchear Inmediatamente

Microsoft lanzó actualizaciones de seguridad fuera de banda el 20–21 de julio de 2025:

• SharePoint 2019 ➝ KB5002741
• SharePoint SE ➝ KB5002755
• SharePoint 2016 está pendiente — aislar servidores lo antes posible

🔗 Catálogo de Parches de Microsoft

✅ Endurecer Sistemas

• Deshabilitar el acceso externo a SharePoint hasta que esté parcheado
• Rotar claves de máquina / claves de validación de viewstate
• Habilitar AMSI + Defender AV con estos indicadores de PowerShell:

🔎 Detección y Búsqueda de Amenazas

Ejemplos de IOC:

• spinstall0.aspx

• SuspSignoutReq.exe

• __VIEWSTATE grande codificado en cargas POST

• Árbol de procesos sospechoso:

  • w3wp.exe → cmd.exe → powershell.exe

Búsqueda KQL de Defender:

🔗 Conexión con CVE‑2025‑49706

Microsoft confirmó que 53770 es una variante de 49706, ahora armada en RCE sin autenticación.

🧠 Reflexiones Finales

Esto no es solo otra publicación de CVE. CVE‑2025‑53770 es una de las vulnerabilidades de SharePoint más peligrosas en la memoria reciente. Se basa en un defecto de suplantación ya grave (49706) y elimina la única barrera—la autenticación.

Si estás ejecutando una instancia de SharePoint local y no has parcheado desde principios de julio de 2025, asume compromiso y busca agresivamente.

📚 Referencias

• Blog de Microsoft – CVE-2025-53770
• Cobertura de SecurityWeek
• Mi Análisis de CVE‑2025‑49706
• Wiz Threat Intel

👨‍💻 Sobre el Autor

Soy un profesional de ciberseguridad enfocado en seguridad ofensiva, análisis de exploits y operaciones de equipo rojo. He estado en el top 2% en TryHackMe y he publicado herramientas de seguridad como KeySentry, ShadowHash y PixelPhantomX. Poseo certificaciones como CEH, Security+ y el Certificado de Equipo Rojo de IIT Kanpur, y escribo regularmente para InfoSec WriteUps y otras plataformas de seguridad.

🔗 GitHub: @AdityaBhatt3010
✍️ Medium: @adityabhatt3010
💼 LinkedIn: Aditya Bhatt