WSUS-CVE-2025-59287-RCE

CVE-2025-59287 — это критическая (CVSS 9.8) уязвимость удалённого выполнения кода, затрагивающая ВСЕ серверы обновлений Microsoft Windows Server Update Services (WSUS), которая уже эксплуатируется в дикой природе. Уязвимость использует небезопасную десериализацию в конечной точке GetCookie(), позволяя неаутентифицированным злоумышленникам выполнять произвольный код с привилегиями FULL SYSTEM.

Использование

Этот PoC для reverse shell довольно прост в использовании! Он принимает URL цели, IP атакующего и параметры порта, затем конструирует, шифрует и отправляет вредоносную нагрузку. Для перехвата reverse shell используйте слушатель, например netcat: nc -lvnp 4444.

1. Скомпилируйте, можно использовать https://github.com/mono/mono
2. Запустите слушатель; пример через netcat: nc -lvnp 4444
3. Запустите исполняемый файл
4. Следуйте подсказкам для ввода: Target, LIP, LPORT
5. Профит.

Схема эксплуатации

1. Генерация нагрузки: создаётся команда PowerShell reverse shell.
2. Сериализация: нагрузка сериализуется с помощью ysoserial.net с использованием гаджета TypeConfuseDelegate.
3. Шифрование: сериализованная нагрузка шифруется с помощью AES-128-CBC с фиксированным ключом и случайно генерируемой солью.
4. Кодирование: зашифрованные байты кодируются в base64.
5. Формирование SOAP-запроса: закодированная нагрузка встраивается в SOAP-конверт в поле AuthorizationCookie.
6. Передача: SOAP-запрос отправляется на конечную точку GetCookie целевого сервера WSUS.
7. Результат (надеемся): если всё прошло хорошо, сервер расшифровывает и десериализует нагрузку, что приводит к удалённому выполнению кода и даёт нам reverse shell с правами SYSTEM!

Отказ от ответственности

Всегда УБЕДИТЕСЬ, что у вас есть ПИСЬМЕННОЕ разрешение перед тестированием подобных эксплойтов. Используйте ответственно и в рамках закона!