WSUS-CVE-2025-59287-RCE

CVE-2025-59287는 치명적인(CVSS 9.8) 원격 코드 실행 취약점으로, 모든 Microsoft Windows Server Update Services(일명 WSUS)에 영향을 미치며 실제 공격에 이미 악용되었습니다. 이 취약점은 GetCookie() 엔드포인트의 안전하지 않은 역직렬화(insecure deserialization)를 악용하여, 인증되지 않은 공격자가 FULL SYSTEM 권한으로 임의 코드를 실행할 수 있게 합니다.

사용법

이 리버스 셸 PoC는 사용하기 매우 쉽습니다! 대상 URL, 공격자 IP, 포트 매개변수를 입력받은 다음 악성 페이로드를 구성하고 암호화한 뒤 전송합니다. 리버스 셸을 받으려면 netcat 같은 리스너를 사용하세요. 예: nc -lvnp 4444

1. 컴파일합니다. https://github.com/mono/mono 를 사용할 수 있습니다.
2. 리스너를 시작합니다. 예: netcat으로 nc -lvnp 4444
3. 실행 파일을 실행합니다.
4. 프롬프트에 따라 Target, LIP, LPORT를 입력합니다.
5. 성공!

익스플로잇 워크플로우

1. 페이로드 생성(Payload Gen.): PowerShell 리버스 셸 명령이 생성됩니다.
2. 직렬화(Serialization): 페이로드는 ysoserial.net을 통해 TypeConfuseDelegate 가젯을 사용하여 직렬화됩니다.
3. 암호화(Encryption): 직렬화된 페이로드는 고정 키와 무작위 생성 salt를 사용하여 AES-128-CBC로 암호화됩니다.
4. 인코딩(Encoding): 암호화된 바이트는 base64로 인코딩됩니다.
5. SOAP 요청 구성(SOAP Request Construction): 인코딩된 페이로드는 AuthorizationCookie 필드 내의 SOAP 봉투에 포함됩니다..
6. 전송(Transmission): SOAP 요청이 대상의 WSUS GetCookie 엔드포인트로 전송됩니다.
7. 결과(바라건대): 모든 것이 잘 진행되었다면 서버는 페이로드를 복호화하고 역직렬화하여 원격 코드 실행으로 이어지고, 따라서 우리에게 SYSTEM 리버스 셸을 제공합니다!

면책 조항

이와 같은 익스플로잇을 테스트하기 전에 반드시 서면(WRITTEN) 승인을 받았는지 확인하세요. 책임감 있게 합법적으로 사용하세요!