🧠 CVE-2025-53770 : Vulnérabilité critique RCE de SharePoint exploitée via falsification de ViewState

📌 Aperçu de la vulnérabilité

• Type : Exécution de code à distance (RCE)
• Score CVSS : 9.8 (Critique)
• Composant : Microsoft SharePoint Server (sur site)
• Cause racine : Désérialisation non sécurisée des données ViewState à l'aide de machineKey ASP.NET volée (ValidationKey et DecryptionKey).
• Exploitation : Aucune authentification requise.
• Statut : Exploitée activement dans la nature.
• Date de divulgation : 19 juillet 2025
• Découverte/rapportée par : Plusieurs fournisseurs de sécurité et équipes gouvernementales de réponse aux incidents.

---

🛠️ Détails techniques

1. Point d'entrée initial :

   • Les attaquants téléchargent un fichier .aspx conçu (ex. spinstall0.aspx) en exploitant les failles de désérialisation de SharePoint.
   • Ce shell lit les clés sensibles (machineKey) de la mémoire.

2. Persistance :

   • Avec ces clés, les attaquants génèrent des charges utiles ViewState malveillantes.
   • Ces charges utiles contournent la vérification de signature et exécutent du code arbitraire sous le processus de travail IIS w3wp.exe.

3. Aucun correctif = accès persistant, même après redémarrage du serveur ou recyclage du pool d'applications.

---

📂 Produits concernés

Produit	Statut
SharePoint Server 2016 (sur site)	Vulnérable
SharePoint Server 2019 (sur site)	Vulnérable
SharePoint Subscription Edition	Vulnérable
SharePoint Online (Microsoft 365)	Non concerné

---

📡 Indicateurs d'exploitation

• Téléchargement de spinstall0.aspx ou de fichiers shell similaires.

• Requêtes vers :

  • /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
  • Avec référent : _layouts/SignOut.aspx

• w3wp.exe générant cmd.exe, powershell.exe ou rundll32.

---

🧪 Conseils de détection

Journaux Web :

• Recherchez des requêtes POST inhabituelles vers les pages de mise en page de SharePoint.
• Recherchez les journaux d'accès impliquant /layouts/ avec des agents utilisateur rares.

Système de fichiers :

• Recherchez les fichiers .aspx non reconnus dans :

  • %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

Processus :

• Surveillez les processus enfants anormaux sous w3wp.exe.

Réseau :

• Détectez les connexions sortantes vers des adresses IP d'attaquants connues :

  • 107.191.58.76, 96.9.125.147, 104.238.159.149

---

🔐 Mesures d'atténuation

Avant le correctif :

1. Activer AMSI :

   • Utilisez Microsoft Defender Antivirus avec prise en charge d'AMSI.
   • AMSI peut détecter les charges utiles ViewState malveillantes avant leur exécution.

2. Appliquer des contrôles réseau :

   • Limitez l'accès au serveur SharePoint aux réseaux internes uniquement.

3. Déployer l'EDR/XDR :

   • Utilisez Defender for Endpoint ou un outil similaire pour la détection comportementale.

Après le correctif :

1. Installer les mises à jour de juillet 2025 :

   • Microsoft a publié des correctifs pour SharePoint 2016, 2019 et Subscription Edition.

2. Rotation de machineKey :

   • Modifiez ValidationKey et DecryptionKey ASP.NET dans web.config.
   • Forcez le redémarrage d'IIS (iisreset) pour appliquer les modifications.

3. Audit et nettoyage :

   • Supprimez les fichiers .aspx malveillants.
   • Vérifiez les tâches planifiées ou les mécanismes de persistance.

---

🛡️ Résumé

• Une faille zero-day à fort impact dans SharePoint permet une compromission complète du serveur via des charges utiles ViewState falsifiées.
• Exploitation active confirmée.
• Corrigez immédiatement, faites tourner les clés de chiffrement et recherchez les indicateurs de compromission.

---