Escáner CVE-2025-53770 por DanSec

Una herramienta de reconocimiento simple y eficaz para identificar una posible exposición a la crítica vulnerabilidad de SharePoint CVE-2025-53770.

[!Warning]

Esta herramienta está destinada únicamente a fines de prueba autorizados.
El autor (DanSec) no asume ninguna responsabilidad por el mal uso o los daños causados por escaneos o usos no autorizados. Asegúrate de tener permiso explícito para escanear cualquier dominio o servicio antes de usar esta herramienta.

Acerca de CVE-2025-53770

CVE-2025-53770 ("ToolShell") es una vulnerabilidad crítica que afecta a las versiones 2016, 2019 y Subscription Edition de SharePoint Server local.

Permite la ejecución remota de código (RCE) no autenticada mediante:

• Omisión de autenticación mediante suplantación de encabezados (CVE-2025-53771)
• Subida de una web shell ASPX maliciosa (spinstall0.aspx)
• Extracción de secretos criptográficos de web.config
• Deserialización insegura que explota ViewState para ejecutar código de forma remota

Esta vulnerabilidad ha sido explotada activamente, lo que ha provocado advertencias urgentes de las autoridades de todo el mundo.

Para obtener información detallada:

• Aviso de seguridad de Microsoft
• Análisis de Trend Micro
• Análisis de Rapid7

¿Qué hace este escáner?

• Realiza enumeración de subdominios (usando Sublist3r y crt.sh) para identificar posibles hosts de SharePoint.
• Comprueba de forma segura cada subdominio descubierto en busca de indicios de vulnerabilidad a CVE-2025-53770.
• Genera resultados en un archivo CSV estructurado para facilitar su revisión.

Este escáner NO explota la vulnerabilidad. Solo identifica posibles puntos de exposición.

Instalación

Clona el repositorio e instala las dependencias:

git clone https://github.com/Sec-Dan/CVE-2025-53770-Scanner.git
cd CVE-2025-53770-scanner
pip install -r requirements.txt

Uso

python spScanner.py <target_domain> [options]

Ejemplo:

python spScanner.py example.com --threads 5 --retries 2

Opciones disponibles

Interpretación de los resultados

• VULNERABLE (Rojo): respuestas HTTP 200 OK, potencialmente vulnerable
• LIMPIO (Verde): otras respuestas HTTP, probablemente no expuesto
• ERRORES (Amarillo): errores de conexión o red

El archivo CSV resultante contendrá el estado detallado de cada subdominio escaneado.

Uso responsable

• Obtén siempre autorización explícita antes de escanear.
• Informa a las partes interesadas antes de iniciar escaneos, especialmente en entornos sensibles.
• Úsalo únicamente en sistemas que poseas, administres o para los que tengas consentimiento explícito de prueba.

Problemas y contribuciones

¿Encontraste un error o tienes una solicitud de función? ¡Abre un issue o pull request!

¡Mantente a salvo y feliz escaneo!
— DanSec