Scanner CVE-2025-53770 par DanSec

Un outil de reconnaissance simple et efficace pour identifier une exposition potentielle à la vulnérabilité critique SharePoint CVE-2025-53770.

[!Warning]

Cet outil est destiné uniquement à des fins de test autorisées.
L'auteur (DanSec) décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par un scan ou une utilisation non autorisée. Assurez-vous d'avoir une autorisation explicite pour scanner tout domaine ou service avant d'utiliser cet outil.

À propos de CVE-2025-53770

CVE-2025-53770 ("ToolShell") est une vulnérabilité critique affectant les versions sur site de SharePoint Server 2016, 2019 et Subscription Edition.

Elle permet l'exécution de code à distance (RCE) non authentifiée via :

• Contournement de l'authentification par usurpation d'en-tête (CVE-2025-53771)
• Téléchargement d'un web shell ASPX malveillant (spinstall0.aspx)
• Extraction de secrets cryptographiques à partir de web.config
• Désérialisation non sécurisée exploitant ViewState pour exécuter du code à distance

Cette vulnérabilité a été activement exploitée, provoquant des avertissements urgents de la part des autorités du monde entier.

Pour des informations détaillées :

• Avis de sécurité Microsoft
• Analyse de Trend Micro
• Analyse de Rapid7

Que fait ce scanner ?

• Effectue une énumération de sous-domaines (en utilisant Sublist3r et crt.sh) pour identifier les hôtes SharePoint potentiels.
• Vérifie en toute sécurité chaque sous-domaine découvert pour détecter des signes de vulnérabilité à CVE-2025-53770.
• Produit les résultats dans un fichier CSV structuré pour une consultation facile.

Ce scanner N'EXPLOITE PAS la vulnérabilité. Il identifie simplement les points d'exposition potentiels.

Installation

Clonez le dépôt et installez les dépendances :

git clone https://github.com/Sec-Dan/CVE-2025-53770-Scanner.git
cd CVE-2025-53770-scanner
pip install -r requirements.txt

Utilisation

python spScanner.py <target_domain> [options]

Exemple :

python spScanner.py example.com --threads 5 --retries 2

Options disponibles

Interprétation des résultats

• VULNÉRABLE (Rouge) : Réponses HTTP 200 OK, potentiellement vulnérable
• SAIN (Vert) : Autres réponses HTTP, probablement non exposé
• ERREURS (Jaune) : Erreurs de connexion ou réseau

Le fichier CSV résultant contiendra le statut détaillé de chaque sous-domaine scanné.

Utilisation responsable

• Obtenez toujours une autorisation explicite avant de scanner.
• Informez les parties prenantes avant de lancer des scans, en particulier dans des environnements sensibles.
• Utilisez uniquement sur des systèmes que vous possédez, gérez ou pour lesquels vous avez un consentement explicite pour tester.

Problèmes et contributions

Vous avez trouvé un bug ou une demande de fonctionnalité ? Ouvrez un issue ou une pull request !

Restez en sécurité et bon scan !
— DanSec