[!IMPORTANT] यह रिपोर्ट जानबूझकर सार्वजनिक GitHub प्रकाशन के लिए सैनिटाइज़ की गई है। संवेदनशील पहचानकर्ता, क्रेडेंशियल, अवसंरचना मान और क्लाइंट-विशिष्ट साक्ष्य को स्पष्ट प्लेसहोल्डर से बदल दिया गया है।

🧭 त्वरित नेविगेशन

• कार्यकारी सारांश
• तकनीकी विश्लेषण
• प्रभाव
• निवारण
• सीखे गए पाठ और शमन रणनीति

[!TIP] त्वरित समीक्षा के लिए, कार्यकारी सारांश और प्रभाव अनुभागों से शुरू करें। तकनीकी गहराई के लिए, तकनीकी विश्लेषण और निवारण में आगे बढ़ें।

🏷️ शीर्षक

CVE-2026-45659 - Microsoft SharePoint डिसेरियलाइज़ेशन RCE

🧾 कार्यकारी सारांश

Microsoft SharePoint Server 2019/2022 और Subscription Edition में एक सुरक्षा भेद्यता, जो कम-विशेषाधिकार वाले प्रमाणित उपयोगकर्ता (Site Member) को सर्वर पर मनमाने कमांड निष्पादित करने (RCE) की अनुमति देती है। यह भेद्यता Microsoft.SharePoint.Library लाइब्रेरी के भीतर LosFormatter.Deserialize हैंडलर में असुरक्षित डिसेरियलाइज़ेशन (Unsafe Deserialization) तंत्र का शोषण करती है।

🔬 तकनीकी विश्लेषण

इस कमज़ोरी का मूल्यांकन एप्लिकेशन-सुरक्षा और अवसंरचना-जोखिम परिप्रेक्ष्य से किया गया। मुख्य मुद्दे को रिमोट कोड निष्पादन (Remote Code Execution) के रूप में वर्गीकृत किया गया है और इसे सार्वजनिक पोर्टफोलियो प्रकाशन के लिए उपयुक्त सैनिटाइज़्ड रूप में प्रलेखित किया गया है।

📊 प्रभाव

• प्रभावित एप्लिकेशन संदर्भ के भीतर अनधिकृत कमांड निष्पादन।
• परिनियोजन विशेषाधिकारों के आधार पर संभावित सेवा अधिग्रहण, डेटा रिसाव और लेटरल मूवमेंट।

🛠️ निवारण

1. मई 2026 अपडेट लागू करें Microsoft से
2. उपयोगकर्ता विशेषाधिकारों को सीमित करें न्यूनतम तक
3. SPListItem.Update() कॉल्स की निगरानी करें जो असामान्य हों
4. Advanced Threat Protection सक्रिय करें SharePoint में

🧠 सीखे गए पाठ और शमन रणनीति

• प्रत्येक एकीकरण सीमा को अविश्वसनीय मानें, विशेष रूप से जब एप्लिकेशन तर्क उपयोगकर्ता-नियंत्रित मानों को फाइलसिस्टम, शेल, पार्सर या बाहरी टूल्स को अग्रेषित करता है।
• सुरक्षा समीक्षाओं को पूरी शोषण श्रृंखला को मान्य करना चाहिए, न कि केवल पहले संवेदनशील एंडपॉइंट को; कम-गंभीरता वाली गलत कॉन्फ़िगरेशन श्रृंखलाबद्ध होने पर गंभीर बन सकती हैं।
• सार्वजनिक-मुखी दस्तावेज़ीकरण को जोखिम, मूल कारण और निवारण का वर्णन करना चाहिए, बिना परिचालन पहचानकर्ता, क्रेडेंशियल या पुन: प्रयोज्य शोषण कलाकृतियों को उजागर किए।
• रक्षात्मक नियंत्रणों को शोषण-क्षमता और विस्फोट त्रिज्या दोनों को कम करने के लिए निवारक सत्यापन, रनटाइम न्यूनतम विशेषाधिकार, टेलीमेट्री और पैच प्रशासन को संयोजित करना चाहिए।

🧼 प्रकाशन सैनिटाइज़ेशन नोट्स

• संवेदनशील अवसंरचना पहचानकर्ता, IP पते, होस्टनाम, क्रेडेंशियल, हैश और ई-मेल पते को स्पष्ट प्लेसहोल्डर से बदल दिया गया।
• पुन: प्रयोज्य परिचालन साक्ष्य को न्यूनतम या सारगर्भित किया गया ताकि दस्तावेज़ सार्वजनिक GitHub प्रकाशन के लिए उपयुक्त रहे।
• दस्तावेज़ OWASP WSTG रिपोर्टिंग अपेक्षाओं जैसी सामान्य वेब सुरक्षा परीक्षण रिपोर्ट प्रथाओं के अनुरूप परामर्शदाता-शैली संरचना का उपयोग करता है।