CVE-2025-53770 Scanner di DanSec

Uno strumento di ricognizione semplice ed efficace per identificare una potenziale esposizione alla vulnerabilità critica di SharePoint CVE-2025-53770.

[!Warning]

Questo strumento è destinato esclusivamente a test autorizzati.
L'autore (DanSec) non si assume alcuna responsabilità per usi impropri o danni causati da scansioni o utilizzi non autorizzati. Assicurati di avere il permesso esplicito di scansionare qualsiasi dominio o servizio prima di usare questo strumento.

Informazioni su CVE-2025-53770

CVE-2025-53770 ("ToolShell") è una vulnerabilità critica che colpisce SharePoint Server on-premises versioni 2016, 2019 e Subscription Edition.

Consente l'esecuzione remota di codice (RCE) non autenticata tramite:

• Bypass dell'autenticazione tramite spoofing dell'header (CVE-2025-53771)
• Caricamento di una web shell ASPX dannosa (spinstall0.aspx)
• Estrazione di segreti crittografici da web.config
• Deserializzazione non sicura che sfrutta ViewState per eseguire codice in remoto

Questa vulnerabilità è stata sfruttata attivamente, spingendo le autorità di tutto il mondo a lanciare avvisi urgenti.

Per informazioni dettagliate:

• Avviso di sicurezza Microsoft
• Analisi di Trend Micro
• Analisi di Rapid7

Cosa fa questo scanner?

• Esegue l'enumerazione dei sottodomini (usando Sublist3r e crt.sh) per identificare potenziali host SharePoint.
• Verifica in modo sicuro ogni sottodominio scoperto per individuare segni di vulnerabilità a CVE-2025-53770.
• Salva i risultati in un file CSV strutturato per una facile consultazione.

Questo scanner NON sfrutta la vulnerabilità. Si limita a identificare potenziali punti di esposizione.

Installazione

Clona il repository e installa le dipendenze:

git clone https://github.com/Sec-Dan/CVE-2025-53770-Scanner.git
cd CVE-2025-53770-scanner
pip install -r requirements.txt

Utilizzo

python spScanner.py <target_domain> [options]

Esempio:

python spScanner.py example.com --threads 5 --retries 2

Opzioni disponibili

Interpretazione dei risultati

• VULNERABILE (Rosso): risposte HTTP 200 OK, potenzialmente vulnerabile
• PULITO (Verde): altre risposte HTTP, probabilmente non esposto
• ERRORI (Giallo): errori di connessione o di rete

Il file CSV risultante conterrà lo stato dettagliato di ogni sottodominio scansionato.

Uso responsabile

• Ottenere sempre un'autorizzazione esplicita prima di scansionare.
• Informare le parti interessate prima di avviare le scansioni, soprattutto in ambienti sensibili.
• Utilizzare solo su sistemi di cui si è proprietari, che si gestiscono, o per cui si ha il consenso esplicito a testarli.

Problemi e Contributi

Trovato un bug o hai una richiesta di funzionalità? Apri una issue o una pull request!

Resta al sicuro e buona scansione!
— DanSec