Exploit RCE de SharePoint ToolPane

Kit de herramientas de investigación de seguridad para probar vulnerabilidades de SharePoint ToolPane

Descripción general • Características • Primeros pasos • Uso • Estructura del proyecto

Este repositorio contiene exploits de prueba de concepto y herramientas de análisis para la vulnerabilidad SharePoint ToolPane (CVE-2025-53770). El proyecto demuestra técnicas de explotación que incluyen bypass de autenticación y vulnerabilidades de deserialización insegura que afectan a Microsoft SharePoint Server.

[!WARNING] Solo para pruebas de seguridad autorizadas. Este proyecto está destinado a fines educativos, pruebas de penetración e investigación de seguridad en sistemas que poseas o para los que tengas permiso explícito de prueba.

Descripción general

CVE-2025-53770 es una vulnerabilidad crítica en Microsoft SharePoint Server que permite la ejecución remota de código no autenticada mediante una combinación de bypass de autenticación y deserialización insegura. Esta vulnerabilidad afecta a SharePoint Server 2019 y es especialmente peligrosa porque no requiere autenticación.

La cadena de vulnerabilidades incluye:

• CVE-2025-49706 - Bypass de autenticación que afecta a ToolPane.aspx
• CVE-2025-53771 - Bypass del parche para CVE-2025-49706
• CVE-2025-49704 - Vulnerabilidad de deserialización insegura
• CVE-2025-53770 - Bypass del parche dirigido a diferentes endpoints

Características

• Múltiples métodos de explotación - Implementaciones en Python y cURL
• Escaneo de objetivos - Detección automatizada de versiones vulnerables
• Análisis de payloads - Herramientas para decodificar y analizar payloads de exploits
• Documentación completa - Análisis detallado de vulnerabilidades y guía de explotación
• Pruebas en entornos reales - Probado contra múltiples versiones de SharePoint

Primeros pasos

Requisitos previos

• Python 3.x con librerías requests y urllib3
• Acceso de red a los servidores SharePoint objetivo
• Autorización para probar los sistemas objetivo

Uso

Escaneo de objetivos vulnerables

Utiliza el escáner para identificar instalaciones de SharePoint potencialmente vulnerables:

python3 scanner/scanner.py <target_ip_or_hostname>

Ejecución del exploit

Explotación con Python

Ejecuta el exploit principal en Python contra un objetivo:

python3 exploit/exploit.py <target_ip_or_hostname>

Ejemplo de salida:

[+] Targeting: http://192.168.1.100
[+] Sending exploit payload...
[+] Response Status: 200
[+] Response Length: 1234 bytes

Pruebas con cURL

Prueba utilizando los comandos cURL proporcionados:

# Review the cURL file for specific commands
cat metasploit_ref/cURL

Análisis de respuestas

Utiliza la herramienta de análisis para decodificar y examinar las respuestas del exploit:

python3 analysis/analyse.py

Esta herramienta extrae y decodifica payloads codificados en base64 del tráfico capturado.

Estructura del proyecto

├── analysis/
│   └── analyse.py              # Payload analysis and decoding tools
├── exploit/
│   └── exploit.py              # Main Python RCE exploit
├── metasploit_ref/
│   ├── cURL                    # cURL command examples
│   ├── sharepoint_toolpane_rce.md  # Detailed vulnerability documentation
│   └── sharepoint_toolpane_rce.rb  # Ruby reference implementation
├── out/                        # Analysis output directory
├── scanner/
│   └── scanner.py              # Vulnerability scanner
└── README.md                   # This file

Versiones vulnerables

Se ha confirmado que las siguientes versiones de SharePoint Server son vulnerables:

• SharePoint Server 2019 16.0.10337.12109 (versión RTM)
• SharePoint Server 2019 16.0.10417.20018 (nivel de parche de junio de 2025)
• SharePoint Server 2019 16.0.10417.20027 (nivel de parche de julio de 2025)*

*El nivel de parche de julio de 2025 puede seguir siendo explotable a menos que los administradores hayan realizado manualmente actualizaciones de configuración.

Aviso legal

[!CAUTION] Este proyecto se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas.

• Solo prueba sistemas que poseas o para los que tengas permiso explícito por escrito
• Las pruebas no autorizadas de sistemas pueden violar leyes locales, estatales y federales
• Los usuarios son los únicos responsables de garantizar el cumplimiento de las leyes aplicables
• Los autores no asumen ninguna responsabilidad por el mal uso de este software

Recursos

• Detalles de CVE-2025-53770
• Aviso de seguridad de Microsoft
• Prácticas recomendadas de seguridad de SharePoint

⭐ Si este proyecto te ayuda en tu investigación de seguridad, ¡considera darle una estrella en GitHub!