samy4samy/cve-2025-59287-wsus-2Proof-of-concept exploit per CVE-2025-59287, una vulnerabilità di esecuzione remota di codice in Microsoft WSUS tramite deserializzazione non sicura. Invia richieste SOAP appositamente create per attivare l'esecuzione di codice con privilegi SYSTEM.
⚠ Questo strumento è creato esclusivamente per uso educativo. L'uso non autorizzato al di fuori di ambienti controllati è severamente vietato.
CVE-2025-59287 è una vulnerabilità critica di esecuzione di codice remoto in Microsoft Windows Server Update Services (WSUS). Deriva da una deserializzazione non sicura dei dati all'interno dei componenti WSUS, consentendo a un attaccante remoto non autenticato di causare la deserializzazione di un oggetto .NET appositamente creato dal servizio e di eseguire codice arbitrario con l'account SYSTEM. La vulnerabilità viene comunemente sfruttata inviando richieste SOAP appositamente formulate agli endpoint web di WSUS. Questo repository è stato creato per dimostrare una proof-of-concept per questa vulnerabilità.
Questa PoC prevede un payload serializzato con .NET BinaryFormatter e codificato in Base64. Se non viene fornito alcun payload, verrà utilizzato un payload benigno della calcolatrice. Esistono diversi modi per utilizzare un payload personalizzato.
Inserisci semplicemente il tuo payload in payload.txt.
YOUR_PAYLOAD
Il codice utilizzerà il payload da questo file.
Seconda opzione: Puoi aggiungere il tuo payload manualmente. Apri exp.py e individua il seguente blocco. Sostituisci 'your_payload' con il tuo payload .NET BinaryFormatter codificato in Base64.
...
if not args.no_wait:
time.sleep(0.02)
injected = payload_text or 'your_payload'
success, event_id, target_sid = send_malicious_event(target, cookie, injected)
...
python exp.py http://example.local:8533
(sostituisci http://example.local:8530 con l'URL del server WSUS di destinazione)
encrypt.py prepara un blob che assomiglia ai dati crittografati/impacchettati che WSUS si aspetta; exp.py costruisce e invia richieste SOAP che inseriscono quel blob nei campi WSUS che il servizio vulnerabile decritterà e deserializzerà — se il server è vulnerabile, l'oggetto deserializzato può attivare l'esecuzione di codice.
Questo strumento è creato esclusivamente per uso educativo. L'uso non autorizzato al di fuori di ambienti controllati è severamente vietato.