CVE-2025-53770-Checker

Vérifie si un serveur SharePoint sur site est vulnérable à la CVE-2025-53770

Détecteur non intrusif de la vulnérabilité CVE-2025-53770 dans SharePoint Server
Développement : Division81 (équipe de hackers éthiques de Grupo Oruss)

Description technique

• CVE-2025-53770 est un défaut critique de désérialisation .NET dans le gestionnaire ViewState de SharePoint sur site qui permet une RCE sans authentification :contentReference[oaicite:1]{index=1}.
• L'exploit utilise un POST vers / _layouts/15/ToolPane.aspx?DisplayMode=Edit avec des payloads ViewState malveillants (signés) qui déclenchent SerializationException et écrivent généralement des web shells (spinstall0.aspx) dans le dossier LAYOUTS :contentReference[oaicite:2]{index=2}.
• Fait partie de la chaîne d'exploitation “ToolShell” avec CVE-2025-49706 et CVE-2025-49704, utilisée dans des campagnes APT récentes :contentReference[oaicite:3]{index=3}.

Prérequis

• Python ≥ 3.7
• Module requests (pip install requests)

Utilisation

git clone https://github.com/tu-org/division81-sp-checker.git cd division81-sp-checker pip install -r requirements.txt python check_sp_cve2025_53770.py https://sharepoint.local/ -e 2019

Références

MSRC Blog: Customer guidance for SharePoint vulnerability CVE-2025-53770 https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/

Licence

MIT © Grupo Oruss – Division81