CVE-2025-53770 Escáner de Vulnerabilidades de SharePoint

100% improvisado con todos los tweets que circulan con payloads y diferentes ataques, por lo que viene sin garantía, etc. El escáner está diseñado para identificar instancias vulnerables y tiene una configuración con usos conocidos de explotación en el entorno real. Está diseñado principalmente para uso defensivo, para identificar instancias vulnerables y permitirte parchearlas.

Este escáner realiza comprobaciones automatizadas de implementaciones de SharePoint mediante:

Enviando solicitudes POST manipuladas a los endpoints de ToolPane de SharePoint con payloads de explotación
Detectando intentos de extracción de clave de máquina y explotación exitosa
Identificando despliegue de payload secundario (spinstall0.aspx)
Analizando respuestas en busca de indicadores de vulnerabilidad basados en patrones de ataque observados
Proporcionando informes detallados con niveles de confianza y alertas de acción inmediata
Soporte de escaneo concurrente para eficiencia

Capacidades Clave de Detección

CRÍTICO: Detección de Extracción de Clave de Máquina

Detecta respuestas exitosas de extracción de clave de máquina
Identifica exposición de ValidationKey, DecryptionKey y CompatibilityMode
Reconoce patrones de clave de máquina delimitados por tuberías (ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode)
Activa alertas de acción inmediata para sistemas comprometidos

Detección de Payload Secundario

Identifica intentos de despliegue de spinstall0.aspx
Detecta patrones de código de payload C# ASP.NET
Reconoce el uso de System.Web.Configuration.MachineKeySection
Detección de ruta específica de versión (SP2013: WEBSER~1\15\ vs SP2016+: WEBSER~1\16\)

Instalación

Clona el repositorio:

git clone https://github.com/ZephrFish/CVE-2025-53770-Scanner
cd CVE-2025-53770-Scanner

Instala las dependencias:

pip install -r requirements.txt

Uso

Uso Básico

Crea un archivo de texto con los hosts objetivo (uno por línea):

sharepoint1.example.com
sharepoint2.example.net
internal-sp.company.local

Ejecuta el escáner:

python3 scanner.py -i hosts.txt

python3 scanner.py -i hosts.txt -o results.json -l scan.log -t 20 -v

Opciones de Línea de Comandos

Opción	Descripción	Por Defecto
`-i, --input`	Ruta al archivo de lista de hosts (requerido)	-
`-o, --output`	Archivo de salida para resultados (.json, .csv, .txt)	None
`-l, --logfile`	Ruta del archivo de log para registro detallado	None
`-t, --threads`	Número de hilos concurrentes	10
`-v, --verbose`	Habilitar salida detallada y registro	False

Formatos de Salida

Salida JSON (`-o results.json`)

[
  {
    "host": "sharepoint.example.com",
    "url": "https://sharepoint.example.com/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx",
    "scan_time": "2025-07-21T10:30:00.123456",
    "vulnerable": true,
    "status_code": 200,
    "response_size": 15432,
    "error": null,
    "response_time": 1.23
  }
]

Salida CSV (`-o results.csv`)

Proporciona datos tabulares adecuados para análisis en hojas de cálculo con columnas para todas las métricas de escaneo.

Salida de Texto (`-o results.txt`)

Formato legible con estado de vulnerabilidad y detalles del escaneo.

Detalles de la Vulnerabilidad

CVE-2025-53770 apunta a una vulnerabilidad de deserialización en el componente ExcelDataSet de SharePoint que ha sido explotada activamente en el entorno real. El escáner detecta:

Patrones de Ataque Identificados

Explotación Inicial: Solicitud POST a /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx con payload serializado

Extracción de Clave de Máquina: Explotación exitosa devuelve configuración de máquina delimitada por tuberías:

ValidationKey|Validation|DecryptionKey|Decryption|CompatibilityMode
Ejemplo: [128-256 caracteres hex]|HMACSHA256|[48-96 caracteres hex]|AES|Framework45

Payload Secundario: Despliegue de spinstall0.aspx para acceso persistente y extracción de clave
Segmentación por Versión: Diferentes rutas para versiones de SharePoint (layouts 15/ vs 16/)

IOCs Confirmados de Explotación Activa

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Referer: /_layouts/SignOut.aspx
Content-Length: Típicamente 7699-8000+ bytes
Tamaño del Payload: Parámetros CompressedDataTable grandes codificados en base64
Indicadores de Respuesta: Cadenas de clave de máquina, despliegue de spinstall0.aspx
Infraestructura de Ataque: 65.38.121.198, 162.243.204.189, 165.22.18.129

Lógica de Detección

El escáner analiza las respuestas en busca de:

Patrones de extracción de clave de máquina (confianza CRÍTICA)
Indicadores de payload secundario (confianza ALTA)
Procesamiento de componentes ExcelDataSet/Scorecard (confianza MEDIA)
Patrones de error de ToolPane y características de respuesta anómalas (confianza BAJA)

Consideraciones de Seguridad

Esta herramienta está diseñada solo para pruebas de seguridad autorizadas
Asegura la autorización adecuada antes de escanear cualquier sistema
El escáner utiliza HTTPS por defecto pero acepta certificados autofirmados
Los logs pueden contener información sensible - asegúralos adecuadamente
Considera el impacto en la red al usar un número alto de hilos

Ejemplo de Sesión de Escaneo

$ python3 scanner.py -i corporate-sharepoint.txt -o vuln-results.json -l scan.log -v

Iniciando escaneo de 150 hosts con 10 hilos...
Objetivo CVE: CVE-2025-53770 (deserialización de ExcelDataSet en SharePoint)
Registrando en: scan.log
Los resultados se guardarán en: vuln-results.json

[+] VULNERABLE [CRÍTICO]: sp-prod-01.acme.local
[-] No vulnerable: sp-dev-02.acme.local
[!] ERROR: offline-sp.acme.local - Tiempo de conexión agotado
[+] VULNERABLE [ALTA]: sp-legacy.acme.local
Progreso: 50/150 (33.3%)
Progreso: 100/150 (66.7%)
Progreso: 150/150 (100.0%)

============================================================
ESCANEO COMPLETADO
============================================================
Total de hosts escaneados: 150
Hosts vulnerables: 3
Tasa de éxito: 97.3%

HOSTS VULNERABLES (CVE-2025-53770):

  CRÍTICO - CLAVE DE MÁQUINA EXTRAÍDA (1 hosts):
    • sp-prod-01.acme.local (Tiempo de respuesta: 0.85s, Versión: 2016+)
      ADVERTENCIA: SE REQUIERE ACCIÓN INMEDIATA: Claves de máquina comprometidas

  ALTA CONFIANZA (1 hosts):
    • sp-legacy.acme.local (Tiempo de respuesta: 1.23s, Versión: 2013-2016)

  BAJA CONFIANZA (1 hosts):
    • sp-archive.acme.local (Tiempo de respuesta: 2.10s, Versión: Desconocida)

Resultados detallados guardados en: vuln-results.json

Solución de Problemas

Problemas Comunes

Tiempos de Conexión Agotados: Aumentar el tiempo de espera o reducir el número de hilos
Errores SSL: El escáner desactiva las advertencias SSL por defecto
Errores de Permiso: Asegúrate de tener acceso de escritura para los archivos de salida/log
Uso de Memoria: Monitorear con listas grandes de hosts

Análisis de Logs

Habilitar registro detallado (-v) y archivos de log (-l) para solucionar problemas detallados:

tail -f scan.log

Análisis de Explotación

Payloads de Ataque Observados

El escáner incorpora detección de patrones de explotación confirmados observados en ataques activos:

Estructura del Payload Primario

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx HTTP/1.1
Host: target.domain.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:120.0) Gecko/20100101 Firefox/120.0
Content-Length: 7699
Content-Type: application/x-www-form-urlencoded
Referer: /_layouts/SignOut.aspx
Connection: close

CVE-2025-53770-Scanner

Más Populares