🚨 CVE‑2025‑53770 – SharePoint ゼロデイ亜種、完全なRCEに悪用される

CVE‑2025‑49706 からの重大なエスカレーション
作成者: Aditya Bhatt – レッドチーム | VAPT

📌 TL;DR

CVE‑2025‑53770 は、Microsoft SharePoint における 重大（CVSS 9.8）なゼロ認証RCE脆弱性 であり、現在実際の攻撃で悪用されています。これは単独の問題ではなく、以前私が取り上げた CVE‑2025‑49706 の亜種 です。ただし、CVE‑2025‑49706 が認証を必要としたのに対し、53770 は必要ありません。

これは 認証なしのコード実行 であり、実際の攻撃ではWebシェルのドロップや特権昇格が行われています。今すぐパッチを適用してください。

🔁 見逃した方のために:

以前、私は CVE‑2025‑49706 を分析しました。これは SharePoint のなりすまし脆弱性で、認証された足場からトークンの操作、Webシェルのアップロード、横方向の移動を可能にします。

CVE‑2025‑53770 は同じ基盤の上に構築されていますが、ログインを完全にスキップします。

🧠 CVE‑2025‑53770 とは?

種類: 認証なしのリモートコード実行（RCE）
深刻度: CVSS 9.8（重大）
影響を受ける製品:
- SharePoint Server 2016（未パッチ）
- SharePoint Server 2019
- SharePoint Server Subscription Edition

design-a-high-impact-cybersecurity-artic_CdRES1GBSdam1Yc_c8SpnQ_jqOqJQAeRhiHAaQQn1Us9g

🔍 根本原因

Microsoft によると、これは CVE‑2025‑49706 の亜種 であり、細工された認証トークンの不適切な処理 と悪意のある __VIEWSTATE ペイロードを組み合わせることで、IIS ワーカープロセスでの直接実行につながります。

⚔️ 実際の攻撃

🚨 ToolShell キャンペーン更新:

攻撃者は以下を連鎖させています:
- CVE‑2025‑49704（デシリアライゼーションバグ）
- CVE‑2025‑49706（スプーフィングされたヘッダー + 認証バイパス）
- CVE‑2025‑53770（認証なしRCE）
ドロップするもの:
- spinstall0.aspx Webシェル
- SuspSignoutReq.exe などのペイロード
- w3wp.exe 配下の永続化ツール

🎯 影響を受ける標的（MSRC レポートに基づく）:

政府および教育機関
オンプレミスのSharePointポータル
7月のパッチが適用されていないインターネット公開中のSharePointインスタンス

🧪 攻撃フロー（簡略版）:

📥 悪意のあるリクエストが脆弱なエンドポイントに送信される（認証なし）
🧾 注入された __VIEWSTATE ペイロードまたは偽造されたトークンが検証をバイパスする
💣 IIS 内（w3wp.exe）でNT AUTHORITY\SYSTEM としてコードが実行される
🐚 Webシェルがアップロードされ、リモートアクセスが確立される
🛰️ C2通信が開始され、横方向の移動が始まる

_- visual selection

🛡️ 緩和策とパッチ適用

✅ 直ちにパッチを適用

Microsoft は 2025年7月20日～21日 に帯域外セキュリティ更新プログラムをリリースしました:

SharePoint 2019 ➝ KB5002741
SharePoint SE ➝ KB5002755
SharePoint 2016 は保留中 — サーバーを直ちに隔離してください

🔗 Microsoft Patch Catalog

✅ システムの強化

パッチ適用までSharePointへの外部アクセスを無効にする
マシンキー / ビューステート検証キー をローテーションする
以下のPowerShellフラグで AMSI + Defender AV を有効にする:

Set-MpPreference -EnableControlledFolderAccess Enabled
Set-MpPreference -EnableScriptScanning $true

🔎 検出と脅威ハンティング

IOCの例:

spinstall0.aspx
SuspSignoutReq.exe
POSTペイロード内の大きなエンコードされた __VIEWSTATE
疑わしいプロセスツリー:
- w3wp.exe → cmd.exe → powershell.exe

Defender KQL ハント:

DeviceFileEvents
| where FileName contains "spinstall0.aspx" or FolderPath contains "inetpub"
| where ActionType == "FileCreated"

🔗 CVE‑2025‑49706 との関連性

CVE ID	必要なアクセス	影響	悪用状況
CVE‑2025‑49706	認証済み	なりすまし / シェルドロップ	確認済み
CVE‑2025‑53770	認証なし	RCE + SYSTEM 権限	活発

Microsoft は 53770 を 49706 の亜種として確認しており、現在は認証なしRCEとして武器化されています。

🧠 最終所見

これは単なる別のCVEの発表ではありません。 CVE‑2025‑53770 は近年最も危険なSharePoint脆弱性の1つです。 すでに深刻ななりすましの欠陥（49706）に基づいて構築され、唯一の障壁である認証を取り除いています。

オンプレミスのSharePointインスタンスを運用しており、2025年7月上旬 以降パッチを適用していない場合は、侵害されていると仮定して積極的に調査してください。

a-high-impact-cybersecurity-article-cove_GJ-Xd9NwTO2PWPeOiTkJKg_jqOqJQAeRhiHAaQQn1Us9g

📚 参考文献

👨‍💻 著者について

私は攻撃的セキュリティ、エクスプロイト分析、レッドチーム運用に焦点を当てたサイバーセキュリティ実務者です。 TryHackMe で上位2%にランクインし、KeySentry、ShadowHash、PixelPhantomX などのセキュリティツールを公開しています。 CEH、Security+、IIT Kanpur Red Team Certificate などの認定資格を保有し、InfoSec WriteUps などのセキュリティプラットフォームで定期的に執筆しています。

🔗 GitHub: @AdityaBhatt3010
✍️ Medium: @adityabhatt3010
💼 LinkedIn: Aditya Bhatt

CVE-2025-53770-SharePoint-Zero-Day-Variant-Exploited-for-Full-RCE

人気