Vulnerabilitate RCE exploatată în SharePoint

A fost identificată o nouă vulnerabilitate de executare a codului de la distanță (RCE) în în Microsoft SharePoint, care afectează procesul de deserializare a caracteristicilor WebPart.

Vulnerabilitatea permite atacatorilor să execute cod arbitrar prin intermediul unor payload-uri XML malițioase și încorporate în SharePoint Web Parts, compromițând medii SharePoint întregi.

Conform raportului unor specialiști, vulnerabilitatea își are originea în mecanismul de analiză a controlului SharePoint WebPart, în special în metoda Microsoft.SharePoint.WebPartPages.WebPart.AddParsedSubObject().

Lanțul de atac urmează o cale complexă de deserializare prin mai multe componente SharePoint, ajungând în final la funcția vulnerabilă Microsoft.SharePoint.WebPartPages.Utility.DeserializeStringToObject().

Vulnerabilitatea principală constă în metoda GetAttachedProperties(), în care SharePoint deserializează câmpul _serializedAttachedPropertiesShared utilizând SPSerializationBinder.

Această componentă permite deserializarea binară a oricărei clase din sfera SafeControls a SharePoint, generând o breșă de securitate semnificativă.

Atacatorii pot exploata acest lucru vizând clasa Microsoft.SharePoint.ApplicationPages.SPThemes, care implementează DataSet și utilizează constructori de serializare nepotriviți.

Exploatarea implică crearea unui payload malițioase utilizând elementul AttachedPropertiesShared din cadrul structurii XML WebPart.

Vulnerabilitatea afectează versiunea SharePoint 15.0.5145.1000 și poate afecta și alte versiuni.

Vectorul de atac utilizează serviciile web integrate ale SharePoint, în special endpoint-ul /_vti_bin/webpartpages.asmx cu metoda ConvertWebPartFormat.

Se recomandă aplicarea imediată a celor mai recente actualizări de securitate SharePoint și implementarea validării stricte a datelor de intrare pentru conținutul WebPart.

Sursă: https://cybersecuritynews.com/sharepoint-webpart-vulnerability/