sharepoint-toolshell-cve-2025-53770 — Exploit pour CVE-2025-53770, une RCE critique sur SharePoint via un contournement d'authentification et une désérialisation non sécurisée, permettant le déploiement d'un web shell et le vol de clés machine pour un compromis persistant du serveur. | Kitploit

L'attaquant envoie une requête HTTP POST spécialement conçue à la page de gestion cachée :
/_layouts/15/ToolPane.aspx?DisplayMode=Edit
La requête contient un en-tête Referer falsifié :
```
Referer: /_layouts/SignOut.aspx
```
En raison d'un défaut logique, SharePoint traite cette requête comme provenant d'une session authentifiée légitime, accordant l'accès.

sequenceDiagram
    participant Attacker
    participant SharePoint Server

    Attacker->>SharePoint Server: POST /ToolPane.aspx (with fake Referer)
    SharePoint Server-->>Attacker: Grants admin access (auth bypass)
    Attacker->>SharePoint Server: Uploads malicious web shell
    Attacker->>SharePoint Server: Executes web shell to read config
    SharePoint Server-->>Attacker: Returns ValidationKey and DecryptionKey
    Attacker->>SharePoint Server: Sends forged, signed payloads (persistent RCE)

sharepoint-toolshell-cve-2025-53770

Populaires

2. Exécution de code à distance via désérialisation

3. Déploiement du web shell et vol de clés

4. Prise de contrôle totale du serveur et persistance

Impact

Exemple de flux d'attaque (Diagramme)

Remédiation

Références

sharepoint-toolshell-cve-2025-53770

Populaires

Exploit RCE « ToolShell » pour SharePoint (CVE-2025-53770)

Vue d'ensemble

Détails techniques

Versions affectées

Sévérité

Chaîne d'exploitation : étape par étape

1. Contournement de l'authentification