SharePoint "ToolShell" RCE エクスプロイト (CVE-2025-53770)

概要

CVE-2025-53770 は、Microsoft SharePoint Server 2016、2019、および Subscription Edition (オンプレミスのみ、SharePoint Online は対象外) に影響を与える重大なリモートコード実行 (RCE) 脆弱性です。攻撃者は、ロジックの欠陥と安全でない逆シリアル化を悪用して認証をバイパスし、サーバーを完全に制御できます。このエクスプロイトチェーンは、一般に「ToolShell」として知られており、実際の攻撃で観察されています。

技術的詳細

影響を受けるバージョン

SharePoint Enterprise Server 2016
SharePoint Server 2019
SharePoint Server Subscription Edition
SharePoint Online (Microsoft 365) には該当しません

深刻度

CVSS スコア: 9.8 (重大)

エクスプロイトチェーン: ステップバイステップ

1. 認証バイパス

攻撃者は、隠された管理ページに対して特別に細工された HTTP POST リクエストを送信します: /_layouts/15/ToolPane.aspx?DisplayMode=Edit
リクエストには偽装された Referer ヘッダーが含まれます:
```
Referer: /_layouts/SignOut.aspx
```
ロジックの欠陥により、SharePoint はこのリクエストを正当な認証済みセッションからのものとして扱い、アクセスを許可します。

2. 逆シリアル化によるリモートコード実行

特権エンドポイントへのアクセスを利用して、攻撃者は安全でない逆シリアル化のバグを悪用するペイロードを送信し、任意のコード実行を可能にします。
通常、攻撃者は悪意のある ASPX Web シェル (例: spinstall0.aspx) を SharePoint システムディレクトリにアップロードします。

3. Web シェルの展開とキーの窃取

Web シェルが実行され、攻撃者は機密性の高い SharePoint 設定ファイルを読み取ることができます。
攻撃者はサーバーのマシンキーを抽出します:
- ValidationKey
- DecryptionKey
これらの暗号鍵は、ユーザー認証トークンとセッション状態 (ViewState) を保護します。

4. サーバーの完全掌握と永続化

鍵を入手した攻撃者は、SharePoint が信頼して実行する、自身の有効で署名されたペイロードを作成できます。
これにより、永続的な RCE が可能になり、初期パッチ適用後でもほとんどのセキュリティ制御をバイパスできます (盗まれた鍵がローテーションされない限り)。

影響

オンプレミス SharePoint サーバーの完全な侵害:
- 任意のコマンド実行
- ファイルのアクセス/改ざん
- データの外部流出
- 内部ネットワーク全体への水平移動
永続性: 攻撃者は、盗んだマシンキーが手動で変更されるまで、そのキーを使ってアクセスを維持します。

攻撃フローの例 (図)

sequenceDiagram
    participant Attacker
    participant SharePoint Server

    Attacker->>SharePoint Server: POST /ToolPane.aspx (偽の Referer)
    SharePoint Server-->>Attacker: 管理者アクセスを付与 (認証バイパス)
    Attacker->>SharePoint Server: 悪意のある Web シェルをアップロード
    Attacker->>SharePoint Server: Web シェルを実行して設定を読み取り
    SharePoint Server-->>Attacker: ValidationKey と DecryptionKey を返す
    Attacker->>SharePoint Server: 偽造された署名済みペイロードを送信 (永続的な RCE)

修復策

Microsoft のパッチを適用する: 公式アドバイザリと更新情報 (Microsoft MSRC)
侵害後すぐにマシンキーをローテーションする
サーバー上の不正な ASPX ファイルと異常なアクティビティを監査する

参考文献

このドキュメントは研究および防御目的のみです。自分が所有していない、またはテストする明示的な許可がないシステムでエクスプロイトを試みないでください。

sharepoint-toolshell-cve-2025-53770

人気