🧠 CVE-2025-53770 : クリティカルなSharePoint RCE脆弱性がViewState偽造を利用して悪用される

種類: リモートコード実行 (RCE)
CVSSスコア: 9.8 (クリティカル)
コンポーネント: Microsoft SharePoint Server (オンプレミス)
根本原因: 盗まれたASP.NET machineKey (ValidationKeyおよびDecryptionKey) を使用した ViewState データの安全でない逆シリアル化
悪用条件: 認証不要
ステータス: 実際の環境で活発に悪用中
開示日: 2025年7月19日
発見/報告者: 複数のセキュリティベンダーおよび政府のインシデント対応チーム

初期侵入:
- 攻撃者はSharePointの逆シリアル化の欠陥を悪用して、細工された .aspx ファイル (例: spinstall0.aspx) をアップロードする
- このシェルはメモリから重要なキー (machineKey) を読み取る
持続性:
- そのキーを使って、攻撃者は悪意のあるViewStateペイロードを生成する
- これらのペイロードは署名検証をバイパスし、IISワーカープロセス w3wp.exe の下で任意のコードを実行する
パッチなし = 持続的なアクセス、サーバー再起動やアプリプールのリサイクル後でも持続

製品	ステータス
SharePoint Server 2016 (オンプレミス)	脆弱
SharePoint Server 2019 (オンプレミス)	脆弱
SharePoint Subscription Edition	脆弱
SharePoint Online (Microsoft 365)	影響なし

spinstall0.aspx または類似のシェルファイルのアップロード
次のようなリクエスト:
- /sites/*/_layouts/15/ToolPane.aspx?DisplayMode=Edit
- リファラー: _layouts/SignOut.aspx
w3wp.exe が cmd.exe、powershell.exe、または rundll32 を起動

次のディレクトリ内の認識されていない .aspx ファイルをスキャン:
- %ProgramFiles%\Common Files\Microsoft Shared\Web Server Extensions\15\TEMPLATE\LAYOUTS\

AMSIを有効化:
- AMSIをサポートするMicrosoft Defender ウイルス対策を使用
- AMSIは悪意のあるViewStateペイロードを実行前に検出可能
ネットワーク制御を適用:
- SharePointサーバーへのアクセスを内部ネットワークのみに制限
EDR/XDRを導入:
- Defender for Endpoint または同様のツールを使用した動作検出

2025年7月の更新プログラムをインストール:
- MicrosoftはSharePoint 2016、2019、およびSubscription Edition向けの修正プログラムをリリース
machineKey をローテーション:
- web.config 内のASP.NETの ValidationKey と DecryptionKey を変更
- IISを再起動 (iisreset) して変更を適用
監査とクリーンアップ:
- 不正な .aspx ファイルを削除
- スケジュールタスクや永続化メカニズムを確認

Blackash-CVE-2025-53770