Исследовательская лаборатория CVE-2025-53770

Судя по всему, этот репозиторий — исследовательский проект proof-of-concept для проверки проблемы десериализации и обработки панели инструментов (ToolPane) в стиле SharePoint в контролируемой лабораторной среде. Он включает драйвер Python, имитацию уязвимого приложения и контейнерные ресурсы для изолированного тестирования.

[!WARNING] Этот проект должен использоваться только в системах, контейнерах или сетях, которыми вы владеете или на тестирование которых получили явное разрешение. Не запускайте этот код против публичной инфраструктуры, сторонних сервисов, производственных сред или любых других целей без письменного разрешения. Несанкционированное тестирование безопасности может нарушать закон, договор, политику или условия допустимого использования.

Содержимое этого репозитория следует рассматривать как конфиденциальные исследовательские материалы по безопасности. Если вы используете этот проект для оценочной работы, выполняйте запуск изолированно, регистрируйте все действия и согласуйте тестирование с владельцем системы.

Область проекта

В настоящее время репозиторий содержит:

• sploit.py: асинхронный драйвер Python, который отправляет специально сформированные запросы к конечной точке ToolPane.
• lab/mock_vulnerable_app.cs: имитация уязвимого приложения ASP.NET, которая возвращает маркер проверки и в текущем виде может выполнять переданную команду внутри лабораторного контейнера.
• lab/docker-compose.yml: локальная лаборатория из двух контейнеров, которая разделяет имитацию цели и терминал атакующего.
• lab/Dockerfile: многоэтапная сборка .NET, которая публикует имитацию уязвимого приложения в меньший образ среды выполнения ASP.NET и запускает его от имени непривилегированного пользователя (не root).
• lab/attacker.Dockerfile: определение контейнера атакующего на Python, которое предустанавливает набор зависимостей скрипта, необходимый для терминала лаборатории.
• lab/vulnerable.csproj: файл веб-проекта .NET 6 для имитации уязвимого приложения.
• lab/genGadget.py: вспомогательный скрипт для генерации сжатой полезной нагрузки Base64 для тестирования десериализации только в лабораторных условиях.

Установка и использование

Эта процедура предназначена только для локальной лаборатории.

Предварительные требования:

• Docker Engine с поддержкой Compose
• Локальная оболочка с разрешением на выполнение команд Docker

Запустите лабораторию из каталога lab/:

cd lab
docker-compose up --build -d

Если ваша среда Docker требует повышенных привилегий, выполните те же команды с sudo.

Убедитесь, что оба контейнера запущены:

docker-compose ps

Просмотр журналов при возникновении проблем или для проверки эксплуатации:

docker logs sp_attacker
docker logs sp_vulnerable_lab

Лаборатория намеренно изолирована:

• контейнер с целью работает во внутренней сети lab_net;
• порты не публикуются на хосте;
• контейнер атакующего предоставляется как одноразовый терминал в той же частной сети.

Откройте оболочку в контейнере атакующего:

docker exec -it sp_attacker bash

Из контейнера атакующего можно выполнять безопасные для лаборатории проверки, например подтверждать доступность цели и тестировать скрипт в режиме проверки против имитации цели:

python3 sploit.py http://sp_vulnerable_lab/
# If service-name DNS resolution fails in your environment, use the lab IP:
# python3 sploit.py http://10.10.10.5
# If you wish to go past base validation you can include wanted commands.
python3 sploit.py http://sp_vulnerable_lab whoami

Ожидаемое поведение в локальной среде имитации:

• цель должна быть доступна по адресу http://sharepoint-target из контейнера атакующего;
• имитация приложения возвращает детерминированный маркер для проверки;
• все артефакты результатов, создаваемые скриптом, остаются внутри смонтированного рабочего пространства лаборатории.

Эксплуатационные примечания:

• держите лабораторию отключённой от внешних сетей и не публикуйте целевую службу на хосте;
• не используйте эту среду повторно для оценки в производственной среде;
• если вы изменяете имитацию приложения или определения контейнеров, пересоберите образы перед повторным тестированием.

Очистка

Остановите и удалите контейнеры лаборатории и сеть:

cd lab
docker-compose down

Если вы также хотите удалить созданные образы:

docker-compose down --rmi local

Если вы хотите полностью сбросить артефакты рабочего пространства лаборатории, после завершения работы удалите все созданные файлы результатов:

rm -f vuln.lst

Рекомендуемая практика очистки после каждого упражнения:

1. завершите работу лаборатории с помощью docker-compose down;
2. удалите артефакты результатов, которые не должны сохраняться;
3. пересоберите лабораторию перед следующим запуском, если вы изменили код, зависимости или настройки контейнеров.

Сводка по валидации

Проект структурно состоятелен как локальная исследовательская лаборатория, но в текущем виде его не следует рассматривать как безопасный для производства валидатор.

Что работает:

• Топология лаборатории проста и воспроизводима.
• Драйвер Python может тестировать одну цель или список целей.
• Имитация приложения даёт детерминированные индикаторы успеха для проверки в лаборатории.

Что требует осторожности:

• Основной скрипт включает явное поведение выполнения команд при передаче второго аргумента.
• Проверка TLS отключена в исходящих запросах.
• Положительные результаты записываются в vuln.lst, что может создавать ненужные остаточные конфиденциальные данные.
• Имитация приложения напрямую выполняет вводимые команды оболочки и никогда не должна быть доступна за пределами изолированной лаборатории.

Методология

Используйте этот проект только для контролируемой проверки обнаружения и подверженности, а не для операционной эксплуатации.

Рекомендуемая методология:

1. Создайте изолированную лабораторную среду без внешнего доступа.
2. Проверьте сетевые границы, чтобы только исследователь мог получить доступ к имитации службы.
3. Запустите целевую службу лаборатории и убедитесь, что приложение отвечает на предполагаемой конечной точке.
4. Используйте драйвер только в неразрушающем режиме проверки, чтобы подтвердить, отражает ли цель ожидаемый маркер.
5. Сохраните артефакты запросов и ответов для документации, затем уничтожьте лабораторную среду после тестирования.

Для реальной оценочной работы более безопасным стандартом является замена проверки в стиле эксплуатации одним или несколькими из следующих подходов:

• проверка версии и уровня установленных исправлений;
• проверка конфигурации с аутентификацией;
• анализ журналов веб-уровня;
• анализ телеметрии EDR, SIEM и WAF;
• предоставляемые вендором индикаторы компрометации и проверки работоспособности.

Влияние

Если цель действительно уязвима к ошибке десериализации в привилегированном компоненте приложения, потенциальное воздействие может быть серьёзным:

• удалённое выполнение кода в контексте безопасности затронутой службы;
• потеря конфиденциальности данных приложения, учётных данных и секретов;
• потеря целостности из-за подмены содержимого или конфигурации;
• деградация доступности из-за разрушительных команд или последующих действий;
• возможности латерального перемещения, если хост обладает широкими сетевыми привилегиями или привилегиями удостоверений.

Даже в лаборатории семантика выполнения команд значительно повышает риск, поскольку она нормализует рабочие процессы, которые должны быть зарезервированы для строго контролируемого и авторизованного исследования.

Меры по снижению риска

Правильный путь снижения риска — оборонительный и многоуровневый.

Немедленные действия:

1. Примените обновления безопасности от вендора и экстренные рекомендации для затронутой версии продукта.
2. Устраните публичный доступ или ограничьте доступ к уязвимой поверхности приложения.
3. Смените учётные данные и проверьте привилегированные учётные записи служб, если подозревается компрометация.
4. Проверьте журналы, запланированные задачи, дочерние процессы и исходящие соединения на предмет активности после эксплуатации.
5. Сохраните доказательства до очистки, если среда могла быть уже скомпрометирована.

Действия по усилению защиты:

1. Обеспечьте сегментацию сети вокруг SharePoint или эквивалентных уровней приложения.
2. Разместите службу за обратным прокси, WAF или эквивалентным средством фильтрации.
3. По возможности сократите привилегии учётных записей служб и возможности локального выполнения.
4. Включите централизованное журналирование и оповещение о подозрительных запросах к /_layouts/15/ToolPane.aspx и смежным административным путям.
5. Отслеживайте неожиданное создание процессов из контекста рабочего процесса приложения.

Специфические меры для исследовательской лаборатории:

1. Держите лабораторию в изолированной мостовой сети без публикации портов на хосте.
2. Удалите код выполнения команд из имитации приложения, если он строго не требуется для контролируемой демонстрации.
3. Разделите безвредную проверку и любые опасные функции на разные скрипты или ветви.
4. Избегайте хранения списков подтверждённых целей, если нет документально подтверждённой необходимости их хранения.
5. Уничтожайте и пересобирайте лабораторию после каждого упражнения.

Отказ от ответственности

Этот README не содержит инструкций по эксплуатации реальных систем. Он описывает репозиторий как контролируемый исследовательский артефакт и излагает более безопасные методы проверки и снижения риска.

Ссылки

• CVE.org: CVE-2025-53770 — каноническая запись CVE с метаданными CNA, затронутыми диапазонами версий, CVSS и связанными ссылками.
• NVD: CVE-2025-53770 Detail — обогащение NIST, покрытие CPE, сопоставление CWE и агрегация ссылок.
• Руководство по обновлениям безопасности Microsoft: CVE-2025-53770 — основное уведомление вендора с информацией о влиянии, возможности эксплуатации, мерах снижения риска и обновлениях безопасности.
• Microsoft Learn: Настройка интеграции AMSI с SharePoint Server — рекомендации Microsoft по усилению защиты, на которые ссылается уведомление вендора для снижения риска и проверки.
• Блог Microsoft MSRC: Рекомендации для клиентов по уязвимости SharePoint CVE-2025-53770 — рекомендации вендора и контекст реагирования на активную эксплуатацию.
• Оповещение CISA: Microsoft публикует рекомендации по эксплуатации уязвимости SharePoint CVE-2025-53770 — предупреждение правительства США и рекомендации по оперативному реагированию.
• Запись в каталоге известных эксплуатируемых уязвимостей CISA для CVE-2025-53770 — подтверждение того, что уязвимость добавлена в KEV, а также сроки устранения и рекомендации по действиям.

Автор

• J4ck3LSyN
• github