CVE-2025-53770-Checker

Comprueba si un servidor SharePoint on-premises es vulnerable a CVE-2025-53770

Detector no intrusivo de la vulnerabilidad CVE-2025-53770 en SharePoint Server
Desarrollo: Division81 (equipo de hackers éticos de Grupo Oruss)

Descripción técnica

• CVE-2025-53770 es un fallo crítico de deserialización de .NET en el gestor de ViewState de SharePoint on-premises que permite RCE sin autenticación :contentReference[oaicite:1]{index=1}.
• El exploit emplea un POST a / _layouts/15/ToolPane.aspx?DisplayMode=Edit con payloads de ViewState maliciosos (firmados) que desatan SerializationException y suelen escribir web shells (spinstall0.aspx) en la carpeta LAYOUTS :contentReference[oaicite:2]{index=2}.
• Parte de la “ToolShell” exploit chain junto a CVE-2025-49706 y CVE-2025-49704, utilizada en campañas APT recientes :contentReference[oaicite:3]{index=3}.

Requisitos

• Python ≥ 3.7
• Módulo requests (pip install requests)

Uso

git clone https://github.com/tu-org/division81-sp-checker.git cd division81-sp-checker pip install -r requirements.txt python check_sp_cve2025_53770.py https://sharepoint.local/ -e 2019

Referencias

MSRC Blog: Customer guidance for SharePoint vulnerability CVE-2025-53770 https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/

Licencia

MIT © Grupo Oruss – Division81