CVE-2025-59287 — Windows Server Update Services (WSUS) における、AuthorizationCookie の安全でない逆シリアル化を介した認証不要の重大な RCE。SYSTEM レベルの侵害と活発な悪用を可能にするため、直ちに WSUS をパッチ適用するか隔離（ポート 8530/8531）してください。
TL;DR: Microsoftは、Windows Server Update Services (WSUS) における、すでに実環境で悪用されている重大な認証なしリモートコード実行 (RCE) の脆弱性を修正しました。この問題は、攻撃者が制御するデータの安全でない逆シリアル化に起因し、リモートからのSYSTEMレベルの侵害を可能にします。このバグは本質的に、ネットワークを保護するためのものである更新サーバーを、ネットワークに対する潜在的な武器に変えてしまいます。直ちにパッチを適用するか、適用できるまでWSUSを隔離してください。
WSUSは、多くのエンタープライズ環境でWindowsアップデートを配布するための基盤です。管理者はこれにより、更新プログラムを社内で管理、承認、展開でき、帯域幅を節約し、中央集権的な制御を提供します。
しかし、WSUSのWebサービスエンドポイントの1つに存在する欠陥により、攻撃者がAuthorizationCookieを装った悪意のあるシリアライズデータを送信できるようになりました。WSUSがこの細工されたCookieを受信すると、適切な検証なしに逆シリアル化を試み、任意のコード実行につながります。
攻撃者はこれを利用して、Windows上で最高の権限であるSYSTEMとしてコードを実行しています。WSUSサーバーは信頼されたネットワークゾーンに配置され、すべてのクライアントに更新プログラムをプッシュできることが多いため、この欠陥は絶好の侵入ポイントとなります。悪用されると、攻撃者は悪意のある更新プログラムの展開、ドメインコントローラーへの水平移動、認証情報の窃取を行う可能性があります。 Microsoftは緊急パッチをリリースし、CISAはこのCVEを既知の悪用された脆弱性 (KEV) リストに追加しました。これは、脅威アクターがすでに行動を開始していることを示す強いシグナルです。
パッチ公開後、概念実証 (PoC) がすぐに公開され、フローが理解されれば悪用がいかに簡単であるかを裏付けました。 本質的に、このエクスプロイトは:
WSUSが期待する偽のCookieペイロード (AuthorizationCookie) を作成し、正当な認証データの代わりにシリアライズされた .NETオブジェクトを埋め込みます。
このブロブを、以下のような脆弱なASMXエンドポイントに送信します:
/SimpleAuthWebService/SimpleAuthWebService.asmx/ReportingWebService/ReportingWebService.asmxサーバーは、時代遅れの .NET BinaryFormatter ルーチンを使用して、これを復号化し盲目的に逆シリアル化します。
注入されたオブジェクトのガジェットチェーンが、攻撃者コマンドの実行をトリガーします。通常は、SYSTEM権限でcmd.exeまたはpowershell.exeを起動します。
PoCが公開された現在、日和見的な攻撃者は、オープンなWSUSポートを求めてネットワークを積極的にスキャンしています。武器化されたペイロードが利用可能であるため、パッチ適用は必須です。
直ちにパッチを適用 — CVE-2025-59287に対処するMicrosoftの帯域外WSUS更新プログラムを適用します。KB番号でインストールを確認し、修正を完了するためにシステムを再起動します。
まだパッチを適用できない場合:
防御を更新:
以下は、SIEMまたはEDRプラットフォームに直接組み込んで、潜在的な悪用を検出できるIoCsとハンティングクエリです。
ポート: TCP 8530 (HTTP)、TCP 8531 (HTTPS)
アクセスされるエンドポイント:
/SimpleAuthWebService/SimpleAuthWebService.asmx/ReportingWebService/ReportingWebService.asmx/ClientWebService/ClientWebService.asmxペイロードの手がかり: AuthorizationCookieとラベル付けされたCookieまたはPOSTボディ内の異常に大きなBase64ブロブ。
動作の手がかり: 通常そこにチェックインしない未知のIPまたは内部クライアントからの、WSUSへの突然の、または不規則なPOST。
不審なプロセス生成:
w3wp.exe または wsusservice.execmd.exe または powershell.exeコマンドラインの特徴:
-EncodedCommand、Invoke-Expression、またはネットワークコールバックを含むPowerShellコマンド。永続化の兆候:
C:\inetpub\logs\LogFiles\W3SVC*\u_ex*.logC:\Program Files\Update Services\LogFiles\SoftwareDistribution.log4103、41041# CVE-2025-59287 hunt: detect oversized AuthorizationCookie POSTs to WSUS ASMX endpoints
index=web_logs (uri_path="/SimpleAuthWebService/SimpleAuthWebService.asmx"
OR uri_path="/ReportingWebService/ReportingWebService.asmx"
OR uri_path="/ClientWebService/ClientWebService.asmx")
| where like(Cookie, "%AuthorizationCookie=%")
| where len(Cookie) > 1000
| table _time, clientip, uri_path, Cookie
# CVE-2025-59287 Detection: WSUS spawning PowerShell (potential deserialization RCE)
title: WSUS Process Spawned Suspicious Shell
id: dfd1a2e2-2025-59287-detect
status: stable
description: Detects suspicious behavior where WSUS-related processes (w3wp.exe) spawn PowerShell shells, indicative of CVE-2025-59287 exploitation.
author: Aditya Bhatt
date: 2025/10/28
logsource:
category: process_creation
product: windows
detection:
selection:
EventID: 1
ParentImage|endswith: '\w3wp.exe'
Image|endswith: '\powershell.exe'
condition: selection
fields:
- Image
- ParentImage
- CommandLine
- User
- Computer
falsepositives:
- WSUS administration scripts legitimately using PowerShell (rare)
level: high
tags:
- attack.execution
- cve.2025-59287
- wsus
EQLバージョン
process where event.code == "1" and
process.parent.name == "w3wp.exe" and
process.name == "powershell.exe"
KQLバージョン
event.code:1 and process.parent.name:"w3wp.exe" and process.name:"powershell.exe"
セキュリティベンダーは迅速に対応しました:
/SimpleAuthWebService.asmxを標的とするエクスプロイトトラフィックをフラグ付けする新しいシグネチャをリリースしました。w3wp.exe) によって生成されたPowerShellを、侵害の強力なシグナルとしてハンティングすることを推奨しています。w3wp.exe → powershell.exeチェーンを監視してください。🕵️♀️迅速にパッチを適用し、深くハンティングしてください。そして、セキュリティツールであっても、パッチが適用されていなければ裏切る可能性があることを忘れないでください。🔒🦉