CVE-2025-53770 연구 랩

이 저장소는 통제된 랩 환경에서 SharePoint 스타일 역직렬화 및 도구 창(ToolPane) 처리 문제를 검증하기 위한 개념 증명(PoC) 연구 프로젝트입니다. Python 드라이버, 모의 취약 애플리케이션, 격리된 테스트를 위한 컨테이너 자산이 포함되어 있습니다.

[!WARNING] 이 프로젝트는 반드시 귀하가 소유했거나 명시적으로 테스트 권한을 부여받은 시스템, 컨테이너 또는 네트워크에서만 사용해야 합니다. 서면 허가 없이 공용 인프라, 타사 서비스, 프로덕션 환경 또는 기타 대상을 대상으로 이 코드를 실행하지 마십시오. 승인되지 않은 보안 테스트는 법률, 계약, 정책 또는 허용 가능한 사용 약관을 위반할 수 있습니다.

이 저장소의 내용은 민감한 보안 연구 자료로 취급해야 합니다. 평가 작업에 이 프로젝트를 사용하는 경우 실행을 격리하고, 모든 활동을 기록하며, 테스트 전에 시스템 소유자와 협의하십시오.

프로젝트 범위

이 저장소에는 현재 다음이 포함되어 있습니다:

sploit.py: ToolPane 엔드포인트에 제작된 요청을 전송하는 비동기 Python 드라이버.
lab/mock_vulnerable_app.cs: 검증 마커를 반사하고 현재 형태로는 랩 컨테이너 내부에서 제공된 명령을 실행할 수 있는 모의 ASP.NET 애플리케이션.
lab/docker-compose.yml: 모의 대상과 공격자 터미널을 분리하는 로컬 2-컨테이너 랩.
lab/Dockerfile: 모의 취약 애플리케이션을 더 작은 ASP.NET 런타임 이미지로 게시하고 비루트 사용자로 실행하는 다단계 .NET 빌드.
lab/attacker.Dockerfile: 랩 터미널에 필요한 스크립트 종속성 세트를 사전 설치하는 Python 공격자 컨테이너 정의.
lab/vulnerable.csproj: 모의 취약 애플리케이션을 위한 .NET 6 웹 프로젝트 파일.
lab/genGadget.py: 랩 전용 역직렬화 테스트를 위한 압축 Base64 페이로드를 생성하는 도우미 스크립트.

설정 및 사용법

이 워크플로는 로컬 랩에서만 사용하도록 설계되었습니다.

사전 요구 사항:

Compose를 지원하는 Docker 엔진
Docker 명령 실행 권한이 있는 로컬 셸

lab/ 디렉터리에서 랩을 시작합니다:

cd lab
docker-compose up --build -d

Docker 설정에 상승된 권한이 필요한 경우 동일한 명령을 sudo로 실행하십시오.

두 컨테이너가 모두 실행 중인지 확인합니다:

docker-compose ps

문제 발생 또는 익스플로잇 검증 시 로깅:

docker logs sp_attacker
docker logs sp_vulnerable_lab

랩은 의도적으로 격리되어 있습니다:

대상 컨테이너는 내부 lab_net 네트워크에서 실행됩니다.
호스트에 게시된 포트가 없습니다.
공격자 컨테이너는 동일한 사설 네트워크 내의 일회용 터미널로 제공됩니다.

공격자 컨테이너에서 셸을 엽니다:

docker exec -it sp_attacker bash

공격자 컨테이너 내부에서 대상에 연결할 수 있는지 확인하고 모의 대상을 상대로 검증 모드에서 스크립트를 테스트하는 등 랩에 안전한 점검을 수행할 수 있습니다:

python3 sploit.py http://sp_vulnerable_lab/
# If service-name DNS resolution fails in your environment, use the lab IP:
# python3 sploit.py http://10.10.10.5
# If you wish to go past base validation you can include wanted commands.
python3 sploit.py http://sp_vulnerable_lab whoami

로컬 모의 환경에서 예상되는 동작:

공격자 컨테이너에서 대상이 http://sharepoint-target으로 연결 가능해야 합니다.
모의 애플리케이션은 검증을 위해 결정론적 마커를 반환합니다.
스크립트가 생성한 모든 결과 산출물은 마운트된 랩 작업 공간 내에 유지됩니다.

운영 참고 사항:

랩을 외부 네트워크와 차단된 상태로 유지하고 대상 서비스를 호스트에 게시하지 마십시오.
이 환경을 프로덕션 평가에 재사용하지 마십시오.
모의 애플리케이션이나 컨테이너 정의를 수정하는 경우 재테스트 전에 이미지를 다시 빌드하십시오.

정리

랩 컨테이너와 네트워크를 중지하고 제거합니다:

cd lab
docker-compose down

빌드된 이미지도 함께 제거하려면:

docker-compose down --rmi local

랩 작업 공간 산출물을 완전히 초기화하려면 종료 후 생성된 결과 파일을 제거하십시오:

rm -f vuln.lst

각 실습 후 권장되는 정리 절차:

docker-compose down으로 랩을 종료합니다.
유지되어서는 안 되는 결과 산출물을 제거합니다.
코드, 종속성 또는 컨테이너 설정을 변경한 경우 다음 실행 전에 랩을 다시 빌드합니다.

검증 요약

이 프로젝트는 로컬 연구 랩으로서 구조적으로 유효하지만, 현재 형태로는 프로덕션에 안전한 검증 도구로 취급해서는 안 됩니다.

작동하는 항목:

랩 토폴로지는 단순하고 재현 가능합니다.
Python 드라이버는 단일 대상 또는 대상 목록을 테스트할 수 있습니다.
모의 애플리케이션은 랩 검증을 위한 결정론적 성공 지표를 제공합니다.

주의가 필요한 항목:

기본 스크립트는 두 번째 인수가 제공되면 명시적 명령 실행 동작을 포함합니다.
아웃바운드 요청에서 TLS 검증이 비활성화되어 있습니다.
긍정적 발견 사항이 vuln.lst에 기록되어 불필요한 잔여 민감 데이터가 생성될 수 있습니다.
모의 애플리케이션은 셸 입력을 직접 실행하므로 격리된 랩 외부에 노출되어서는 안 됩니다.

방법론

이 프로젝트는 운영적 익스플로잇이 아닌 탐지 및 노출에 대한 통제된 검증에만 사용하십시오.

권장 방법론:

외부 노출이 없는 격리된 랩 환경을 구축합니다.
연구자만 모의 서비스에 접근할 수 있도록 네트워크 경계를 검증합니다.
랩 대상을 실행하고 애플리케이션이 의도된 엔드포인트에 응답하는지 확인합니다.
대상이 예상 마커를 반사하는지 확인하기 위해 드라이버를 비파괴 검증 모드에서만 사용합니다.
문서화를 위해 요청 및 응답 산출물을 캡처한 다음 테스트 후 랩 환경을 삭제합니다.

실제 환경 평가 작업의 경우 익스플로잇 방식 검증을 다음 중 하나 이상으로 대체하는 것이 더 안전한 표준입니다:

버전 및 패치 수준 검증.
인증된 구성 검토.
웹 계층 로그 분석.
EDR, SIEM 및 WAF 텔레메트리 검토.
공급업체 제공 손상 지표 및 상태 점검.

영향

대상이 권한 있는 애플리케이션 구성 요소의 역직렬화 결함에 실제로 취약한 경우 잠재적 영향은 심각할 수 있습니다:

영향을 받는 서비스의 보안 컨텍스트에서의 원격 코드 실행.
애플리케이션 데이터, 자격 증명 및 비밀에 대한 기밀성 손실.
콘텐츠 또는 구성 변조를 통한 무결성 손실.
파괴적 명령 또는 후속 조치로 인한 가용성 저하.
호스트에 광범위한 네트워크 또는 ID 권한이 있는 경우 측면 이동 기회.

랩에서도 명령 실행 시맨틱은 엄격히 통제되고 승인된 조사에만 사용되어야 하는 워크플로를 일상화하므로 위험을 크게 높입니다.

완화 조치

적절한 완화 경로는 방어적이고 다층적입니다.

즉시 조치:

영향을 받는 제품 버전에 대한 공급업체 보안 업데이트 및 긴급 지침을 적용합니다.
공개 노출을 제거하거나 취약한 애플리케이션 표면에 대한 접근을 제한합니다.
손상이 의심되는 경우 자격 증명을 교체하고 권한 있는 서비스 계정을 검토합니다.
익스플로잇 이후 활동이 있는지 로그, 예약된 작업, 자식 프로세스 및 아웃바운드 연결을 검사합니다.
환경이 이미 손상되었을 수 있는 경우 정리 전에 증거를 보존합니다.

강화 조치:

SharePoint 또는 이에 상응하는 애플리케이션 계층 주변에 네트워크 분리를 적용합니다.
서비스를 역방향 프록시, WAF 또는 이에 상응하는 필터링 제어 뒤에 배치합니다.
가능한 모든 곳에서 서비스 계정 권한과 로컬 실행 기능을 축소합니다.
/_layouts/15/ToolPane.aspx 및 인접 관리 경로에 대한 의심스러운 요청에 대해 중앙 집중식 로깅 및 알림을 활성화합니다.
애플리케이션 작업자 컨텍스트에서 예기치 않은 프로세스 생성을 모니터링합니다.

연구 랩 특정 완화 조치:

랩을 호스트 포트 게시가 없는 격리된 브리지 네트워크에 유지합니다.
통제된 데모에 엄격히 필요한 경우가 아니라면 모의 애플리케이션에서 명령 실행 코드를 제거합니다.
무해한 검증과 위험한 기능을 서로 다른 스크립트 또는 분기로 분리합니다.
문서화된 보존 필요가 없는 한 긍정적 대상 목록 저장을 피합니다.
각 실습 후 랩을 삭제하고 다시 빌드합니다.

면책 조항

이 README는 실제 운영 중인 시스템을 익스플로잇하기 위한 지침을 제공하지 않습니다. 이 문서는 저장소를 통제된 연구 산출물로 설명하고 더 안전한 검증 및 완화 관행을 개괄합니다.

참조

CVE.org: CVE-2025-53770 - CNA 메타데이터, 영향받는 버전 범위, CVSS 및 연결된 참조가 포함된 정식 CVE 기록.
NVD: CVE-2025-53770 세부 정보 - NIST 보강, CPE 적용 범위, CWE 매핑 및 참조 집계.
Microsoft 보안 업데이트 가이드: CVE-2025-53770 - 영향, 악용 가능성, 완화 조치 및 보안 업데이트 정보가 포함된 기본 공급업체 권고.
Microsoft Learn: SharePoint Server와 AMSI 통합 구성 - 완화 및 검증을 위해 공급업체 권고가 참조하는 Microsoft 강화 지침.
Microsoft MSRC 블로그: SharePoint 취약점 CVE-2025-53770에 대한 고객 지침 - 활발한 악용에 대한 공급업체 지침 및 대응 맥락.
CISA 경보: Microsoft, SharePoint 취약점 CVE-2025-53770 악용에 대한 지침 발표 - 미국 정부 경보 및 운영 대응 지침.
CISA 알려진 악용 취약점 카탈로그의 CVE-2025-53770 항목 - 취약점이 KEV에 추가되었으며 수정 기한 및 조치 지침이 함께 제공되었음을 확인하는 내용.

작성자

J4ck3LSyN
github

CVE-2025-53770

인기