WSUS-CVE-2025-59287-RCE

CVE-2025-59287 es una vulnerabilidad de ejecución remota de código crítica (CVSS 9.8) que afecta a TODOS los Microsoft Windows Server Update Services, también conocidos como (WSUS), y ha sido explotada en ataques reales. La vulnerabilidad explota una deserialización insegura en el endpoint GetCookie(), permitiendo a atacantes no autenticados ejecutar código arbitrario con privilegios completos de SYSTEM.

Uso

¡Este PoC de reverse shell es bastante fácil de usar! Acepta como parámetros la URL del objetivo, la IP del atacante y el puerto, y luego construye, cifra y envía una carga útil maliciosa. Para interceptar la reverse shell, usa un listener como netcat, por ejemplo nc -lvnp 4444.

1. Compila, puedes usar https://github.com/mono/mono
2. Inicia el listener; ejemplo con netcat: nc -lvnp 4444
3. Ejecuta el ejecutable
4. Sigue las indicaciones para ingresar: Target, LIP, LPORT
5. Beneficio.

Flujo de explotación

1. Generación del payload: Se genera un comando de PowerShell de reverse shell.
2. Serialización: El payload se serializa mediante ysoserial.net usando el gadget TypeConfuseDelegate.
3. Cifrado: El payload serializado se cifra usando AES-128-CBC con una clave fija y una sal generada aleatoriamente.
4. Codificación: Los bytes cifrados se codifican en base64.
5. Construcción de la solicitud SOAP: El payload codificado se incrusta en un sobre SOAP dentro del campo AuthorizationCookie..
6. Transmisión: La solicitud SOAP se envía al endpoint GetCookie del WSUS objetivo.
7. Resultado(con suerte): Si todo sale bien, el servidor descifra y deserializa el payload, lo que resulta en ejecución remota de código y, por tanto, nos proporciona una reverse shell de SYSTEM.

Descargo de responsabilidad

Asegúrate SIEMPRE de tener autorización POR ESCRITO antes de probar exploits como este. ¡Úsalo de forma responsable y legal!