CVE-2025-53770-Checker

Verifica se un server SharePoint on-premises è vulnerabile a CVE-2025-53770

Rilevatore non intrusivo della vulnerabilità CVE-2025-53770 in SharePoint Server
Sviluppo: Division81 (team di hacker etici di Grupo Oruss)

Descrizione tecnica

• CVE-2025-53770 è un grave difetto di deserializzazione .NET nel gestore ViewState di SharePoint on-premises che consente RCE senza autenticazione :contentReference[oaicite:1]{index=1}.
• L'exploit utilizza un POST a / _layouts/15/ToolPane.aspx?DisplayMode=Edit con payload ViewState dannosi (firmati) che scatenano SerializationException e solitamente scrivono web shell (spinstall0.aspx) nella cartella LAYOUTS :contentReference[oaicite:2]{index=2}.
• Parte della catena di exploit "ToolShell" insieme a CVE-2025-49706 e CVE-2025-49704, utilizzata in recenti campagne APT :contentReference[oaicite:3]{index=3}.

Requisiti

• Python ≥ 3.7
• Modulo requests (pip install requests)

Utilizzo

git clone https://github.com/tu-org/division81-sp-checker.git cd division81-sp-checker pip install -r requirements.txt python check_sp_cve2025_53770.py https://sharepoint.local/ -e 2019

Riferimenti

Blog di MSRC: Guida per i clienti sulla vulnerabilità SharePoint CVE-2025-53770 https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/

Licenza

MIT © Grupo Oruss – Division81