معرفی اکسپلویت
- پلتفرم آسیب‌پذیر: Microsoft SharePoint
- تاریخ ارائه وصله امنیتی: 20 و 21 جولای 2025
- وضعیت استفاده: انتشار POC و اکسپلویت موفق
CVE-2025-53770
- شدت خطر (CVSSv3): حیاتی با امتیاز 9.8
- نوع آسیب‌پذیری: اجرای کد از راه دور (RCE)
- نوع خطا: سریال‌زدایی (Deserialization) ناامن داده‌های ورودی
CVE-2025-53771
- شدت خطر (CVSSv3): متوسط با امتیاز 6.5
- نوع آسیب‌پذیری: جعل و دور زدن احراز هویت
- نوع خطا: احراز هویت نامناسب (Improper Authentication)
توضیحات فنی
دو شناسه CVE-2025-53770 و CVE-2025-53771 به عنوان حملههای Toolshell شناخته میشوند. نقص امنیتی Deserialization ناامن داده‌های ورودی در Microsoft SharePoint Serverهای on-premises (پیاده‌سازی شده به صورت محلی) باعث میشود مهاجم از راه دور با استفاده از این آسیب‌پذیری بتواند بدون احراز هویت، کد دلخواه را روی سرور بارگذاری و اجرا کند.
جزئیات آسیب‌پذیری
مهاجم برای سوءاستفاده از این آسیب‌پذیری یک درخواست HTTP حاوی مسیر زیر و با هدر Referer جعلی برای سرور مربوطه ارسال می‌کند. این کار باعث میشود SharePoint درخواست ارسالی را به اشتباه، یک درخواست معتبر در نظر بگیرد و ValidateFormDigest دور زده شود. در نتیجه مهاجم می‌تواند یک کد دلخواه را روی سرور بارگذاری کند.
/_layouts/15/ToolPane.aspx?DisplayMode=Edit
نسخه‌های آسیب‌پذیر
- SharePoint server 2016 (قبل از KB5002744)
- SharePoint Server 2019 (قبل از KB5002741)
- SharePoint Subscription Edition (قبل از نسخه 16.0.18526.20424)
نحوه وصله آسیب‌پذیری
وصله‌هایی برای نسخه‌های آسیب‌پذیر ارائه شده است که در وبسایت مایکروسافت منتشر شده است. جهت نصب به لینک زیر مراجعه نموده و آپدیت مناسب از جدول مربوطه را دریافت کنید:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-53770
به منظور مقابله با تهدیدات احتمالی و جهت حصول اطمینان از امنیت سیستم‌های آسیب‌پذیر، توصیه میشود ضمن نصب آنتی‌ویروس پادویش، بلافاصله اقدام‌های کاهش‌دهنده خطر انجام شود که شامل موارد زیر است:
- به‌روزرسانی به آخرین نسخه موجود از نرم‌افزار آسیب‌پذیر
- Rotate کردن رمزهای machinkey، پس از نصب وصله امنیتی و راه‌اندازی مجدد سرویس IIS
- محدودسازی آی‌پی‌های مجاز جهت دسترسی به SharePoint Server، با استفاده از مولفه دیوار آتش آنتی‌ویروس پادویش
- در نظر گرفتن تقسیم‌بندی شبکه برای محدودسازی امکان دسترسی به سرور آسیب‌پذیر
- مانیتور کردن الگوهای ترافیکی غیر عادی