samy4samy/cve-2025-59287-wsus-2Prova de conceito de exploit para CVE-2025-59287, uma vulnerabilidade de execução remota de código no Microsoft WSUS por meio de desserialização insegura. Envia requisições SOAP especialmente elaboradas para acionar a execução de código sob o SYSTEM.
⚠ Esta ferramenta foi criada exclusivamente para fins educacionais. O uso não autorizado fora de ambientes controlados é estritamente proibido.
CVE-2025-59287 é uma vulnerabilidade crítica de execução remota de código no Microsoft Windows Server Update Services (WSUS). Ela decorre da desserialização insegura de dados dentro dos componentes do WSUS, permitindo que um atacante remoto e não autenticado faça o serviço desserializar um objeto .NET malicioso e executar código arbitrário sob a conta SYSTEM. A vulnerabilidade é comumente explorada enviando solicitações SOAP especialmente criadas para os endpoints web do WSUS. Este repositório foi criado para demonstrar uma prova de conceito para esta vulnerabilidade.
Este PoC espera um payload serializado com .NET BinaryFormatter e codificado em Base64. Se nenhum payload for fornecido, um payload benigno de calculadora será usado. Existem várias maneiras de usar um payload personalizado.
Basta inserir seu payload em payload.txt.
YOUR_PAYLOAD
O código usará o payload deste arquivo.
Segunda opção: Você pode adicionar seu payload manualmente. Abra exp.py e localize o seguinte bloco. Substitua 'your_payload' pelo seu payload .NET BinaryFormatter codificado em Base64.
...
if not args.no_wait:
time.sleep(0.02)
injected = payload_text or 'your_payload'
success, event_id, target_sid = send_malicious_event(target, cookie, injected)
...
python exp.py http://example.local:8533
(substitua http://example.local:8530 pela URL do servidor WSUS de destino)
encrypt.py prepara um blob que se parece com os dados criptografados/empacotados que o WSUS espera; exp.py constrói e envia solicitações SOAP que colocam esse blob nos campos do WSUS que o serviço vulnerável descriptografará e desserializará — se o servidor for vulnerável, o objeto desserializado pode acionar a execução de código.
Esta ferramenta foi criada exclusivamente para fins educacionais. O uso não autorizado fora de ambientes controlados é estritamente proibido.