Analyse d'incident SOC : Élévation de privilèges sur Microsoft SharePoint Server (CVE-2023-29375)

Une enquête de sécurité approfondie sur une tentative critique d'exploitation et d'énumération ciblant un serveur Microsoft SharePoint.

Vue d'ensemble de l'incident

• Nom de l'alerte : SOC227 - Élévation de privilèges sur Microsoft SharePoint Server - Exploitation possible de CVE-2023-29375
• Gravité : Critique
• Date/Heure : 6 octobre 2023, 20 h 05
• Nom d'hôte cible : MS-SharePointServer
• IP/Port cible : 172.16.17.233:443 (HTTPS)
• IP source (attaquant) : 39.91.166.222
• User-Agent : python-requests/2.28.1
• Action de l'équipement : Autorisée / Permise

---

Analyse technique et conclusions

1. Détection initiale et automatisation : Le SIEM a déclenché une alerte critique (SOC227) identifiant des tentatives automatisées d'énumération et d'élévation de privilèges contre les points de terminaison de l'API SharePoint à l'aide d'un script basé sur Python (python-requests/2.28.1).
2. Sondage des points de terminaison de l'API et analyse des réponses :
   • La requête vers /_api/web/siteusers/web/siteusers a abouti à une réponse HTTP 404 (Non trouvé) (taille de la réponse : 1453 octets).
   • La requête suivante vers /_api/web/currentuser a abouti à une réponse HTTP 200 (OK) (taille de la réponse : 1071 octets), indiquant que l'attaquant a réussi à récupérer le contexte de session.

3. Corrélation avec le renseignement sur les menaces : Le recoupement de l'IP de l'attaquant (39.91.166.222) sur VirusTotal a confirmé qu'elle est signalée comme malveillante par plusieurs éditeurs de sécurité (associée à l'ASN 4837, China Unicom).