CVE-2026-56164 — Microsoft SharePoint Server 身份验证绕过漏洞利用工具

严重（CVSS 9.8） — 在 Microsoft SharePoint Server 中，未经身份验证即可将权限提升至场管理员

概述

CVE-2026-56164 是 Microsoft SharePoint Server 中的一个严重缺失身份验证漏洞，允许未经过身份验证的远程攻击者将权限提升至场管理员级别。该漏洞位于 Microsoft.Office.Server.UserProfiles 程序集中，该程序集在 /_vti_bin/client.svc/ProcessQuery 处处理 SOAP 请求。

通过故意省略 X-RequestDigest 标头并提供特定的路由标头，易受攻击的服务器会回退到提升的安全上下文，而不是拒绝未经过身份验证的请求。这允许匿名攻击者枚举网站集、用户、场配置，添加管理员以及执行命令。

CISA KEV：由于在野积极利用，此漏洞已列入 CISA 的已知被利用漏洞目录。

漏洞详情

字段	值
CVE ID	CVE-2026-56164
严重性	严重
CVSS 3.1	9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
CWE	CWE-306：关键功能缺少身份验证
影响	未经身份验证即可将权限提升至场管理员
利用状态	积极利用（CISA KEV）
MITRE ATT&CK	T1190（利用面向公众的应用程序）

根本原因

Microsoft.Office.Server.UserProfiles 处理程序在 /_vti_bin/client.svc/ProcessQuery 处处理 SOAP 请求。正常操作下，SharePoint 会验证 X-RequestDigest 标头以确认身份验证上下文。然而，存在一个验证绕过：

如果 X-RequestDigest 不存在且存在特定的路由标头
系统会评估路由参数并回退到高特权默认状态
请求会以系统级凭据而非调用方的安全上下文进行处理

易受攻击的代码路径

// Vulnerable: If digest is missing, handler checks routing headers
if (string.IsNullOrEmpty(digest) && CheckSpecialRoutingHeaders(context)) {
    // Bypasses standard identity validation → elevated admin session
    InitializeElevatedSecurityContext(context);
} else {
    ValidateRequestDigest(digest);  // Normal path
}

已修补的代码

// Patched: Digest validation is unconditional
if (string.IsNullOrEmpty(digest)) {
    context.Response.StatusCode = 401;
    throw new UnauthorizedAccessException("Missing request digest.");
}
ValidateRequestDigest(digest);
InitializeStandardSecurityContext(context);

公告参考

MSRC：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56164
NVD：https://nvd.nist.gov/vuln/detail/CVE-2026-56164
CISA KEV：https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-56164

受影响版本

产品	受影响版本	已修补版本
SharePoint Enterprise Server 2016	修补前所有 16.0.x	16.0.5561.1001
SharePoint Server 2019	修补前所有 16.0.x	16.0.10417.20175
SharePoint Server Subscription Edition	修补前所有 16.0.x	16.0.19725.20434

不受影响：SharePoint Online（Microsoft 365）

架构图

系统架构

┌─────────────────────────────────────────────────────────────────────┐
│                   CVE-2026-56164 Exploit Toolkit                     │
├─────────────────────────────────────────────────────────────────────┤
│                                                                      │
│  ┌────────────┐     ┌─────────────────┐     ┌────────────────────┐  │
│  │  scan.py   │────▶│  HTTP Fingerprint│     │  payload_gen.py    │  │
│  │  Scanner   │     │  + Version Check │     │                    │  │
│  └────────────┘     └─────────────────┘     │  ┌──────────────┐  │  │
│         │                                   │  │ CSOM Payloads│  │  │
│         │  Reports:                         │  │ (detection,  │  │  │
│         │  • SharePoint detected?           │  │  enum,       │  │  │
│         │  • Server version                 │  │  elevate,    │  │  │
│         │  • Vulnerable?                    │  │  execute)    │  │  │
│         │  • Auth bypass confirmed?         │  └──────────────┘  │  │
│         ▼                                   │  ┌──────────────┐  │  │
│  ┌────────────┐     ┌─────────────────┐     │  │ SOAP Payloads│  │  │
│  │ exploit.py │────▶│  HTTP Request   │     │  │ (admin, exec)│  │  │
│  │  Exploit   │     │  Delivery       │     │  └──────────────┘  │  │
│  └────────────┘     └─────────────────┘     │  ┌──────────────┐  │  │
│         │                                   │  │ Bypass       │  │  │
│         │  ┌──────────────────────┐         │  │ Headers      │  │  │
│         ├─▶│ MODE: detect         │         │  │ (routing)    │  │  │
│         │  │ Safe, non-intrusive  │         │  └──────────────┘  │  │
│         │  └──────────────────────┘         │  ┌──────────────┐  │  │
│         │  ┌──────────────────────┐         │  │ HTTP Request │  │  │
│         ├─▶│ MODE: enumerate      │         │  │ Builder      │  │  │
│         │  │ Sites, users, config │         │  └──────────────┘  │  │
│         │  └──────────────────────┘         └────────────────────┘  │
│         │  ┌──────────────────────┐                                 │
│         ├─▶│ MODE: elevate        │     ┌──────────────────────┐    │
│         │  │ Add site/farm admin  │     │ Target SharePoint    │    │
│         │  └──────────────────────┘     │ /_vti_bin/client.svc │    │
│         │  ┌──────────────────────┐     │ /_vti_bin/SPAdmin    │    │
│         └─▶│ MODE: execute        │     └──────────────────────┘    │
│            │ System commands      │                                 │
│            └──────────────────────┘                                 │
│         │  ┌──────────────────────┐                                 │
│         └─▶│ MODE: full           │  detect→enum→elevate→execute    │
│            └──────────────────────┘                                 │
└─────────────────────────────────────────────────────────────────────┘

扫描器流程

┌─────────────┐
│  Start Scan │
└──────┬──────┘
       │
       ▼
┌──────────────────┐     No     ┌─────────────┐
│ Target reachable?│──────────▶│  Skip       │
└──────┬───────────┘            └─────────────┘
       │ Yes
       ▼
┌──────────────────┐
│ Send HTTP GET    │
│ to common ports  │
│ (443,80,8080,    │
│  8443)           │
└──────┬───────────┘
       │
       ▼
┌──────────────────┐     No     ┌─────────────┐
│ SharePoint       │──────────▶│ Not SP      │
│ fingerprint?     │            └─────────────┘
│ (MSST header,    │
│  _vti_bin,       │
│  suitebar, etc.) │
└──────┬───────────┘
       │ Yes
       ▼
┌──────────────────┐
│ Extract version  │
│ from MSST header │
│ / response body  │
└──────┬───────────┘
       │
       ▼
┌──────────────────┐     No     ┌─────────────┐
│ Version in       │──────────▶│ Not         │
│ vulnerable       │            │ vulnerable  │
│ range?           │            └─────────────┘
└──────┬───────────┘
       │ Yes
       ▼
┌──────────────────┐
│ Test auth bypass │
│ (CSOM req w/o    │
│  digest + bypass │
│  headers)        │
└──────┬───────────┘
       │
       ▼
┌──────────────────┐
│ Report:          │
│ • VULNERABLE     │
│ • Version        │
│ • Bypass status  │
│ • SSL cert info  │
└──────────────────┘

POC-CVE-2026-56164-exploit

最受欢迎