[!IMPORTANT] Questo report è stato intenzionalmente anonimizzato per la pubblicazione pubblica su GitHub. Identificatori sensibili, credenziali, valori infrastrutturali ed evidenze specifiche del cliente sono sostituiti con segnaposto chiari.

🧭 Navigazione Rapida

• Sintesi Esecutiva
• Analisi Tecnica
• Impatto
• Rimedio
• Lezioni Apprese e Strategia di Mitigazione

[!TIP] Per una rapida consultazione, inizia con le sezioni Sintesi Esecutiva e Impatto. Per approfondimenti tecnici, prosegui con Analisi Tecnica e Rimedio.

🏷️ Titolo

CVE-2026-45659 - Microsoft SharePoint RCE da deserializzazione

🧾 Sintesi Esecutiva

Una vulnerabilità di sicurezza in Microsoft SharePoint Server 2019/2022 e Subscription Edition consente a un utente autenticato con privilegi limitati (Site Member) di eseguire comandi arbitrari sul server (RCE). La vulnerabilità sfrutta il meccanismo di deserializzazione non sicura (Unsafe Deserialization) nel gestore LosFormatter.Deserialize all'interno della libreria Microsoft.SharePoint.Library.

🔬 Analisi Tecnica

La debolezza è stata valutata da una prospettiva di sicurezza applicativa e di rischio infrastrutturale. Il problema centrale è classificato come Remote Code Execution ed è stato documentato in forma anonimizzata, adatta alla pubblicazione pubblica nel portfolio.

📊 Impatto

• Esecuzione non autorizzata di comandi nel contesto dell'applicazione interessata.
• Potenziale presa di controllo del servizio, esposizione dei dati e movimento laterale a seconda dei privilegi di distribuzione.

🛠️ Rimedio

1. Applicare l'aggiornamento di maggio 2026 di Microsoft
2. Limitare le autorizzazioni degli utenti al minimo
3. Monitorare le chiamate anomale a SPListItem.Update()
4. Attivare Advanced Threat Protection in SharePoint

🧠 Lezioni Apprese e Strategia di Mitigazione

• Trattare ogni confine di integrazione come non attendibile, soprattutto quando la logica applicativa inoltra valori controllati dall'utente a filesystem, shell, parser o strumenti esterni.
• Le revisioni di sicurezza dovrebbero convalidare l'intera catena di exploit, non solo il primo endpoint vulnerabile; configurazioni errate a bassa gravità possono diventare critiche se concatenate.
• La documentazione pubblica dovrebbe descrivere rischio, causa principale e rimedio senza esporre identificatori operativi, credenziali o artefatti di sfruttamento riutilizzabili.
• I controlli difensivi dovrebbero combinare validazione preventiva, privilegio minimo a runtime, telemetria e governance delle patch per ridurre sia la sfruttabilità sia il raggio d'esplosione.

🧼 Note sulla Sanitizzazione per la Pubblicazione

• Identificatori infrastrutturali sensibili, indirizzi IP, hostname, credenziali, hash e indirizzi e-mail sono stati sostituiti con segnaposto espliciti.
• Le evidenze operative riutilizzabili sono state ridotte al minimo o astratte per mantenere il documento adatto alla pubblicazione pubblica su GitHub.
• Il documento utilizza una struttura in stile consulenziale allineata alle pratiche comuni dei report di web security testing, come le aspettative di reporting di OWASP WSTG.