Trusted Design

解説:

CVE-2025-53770に関する脆弱性調査結果を以下に解説します。

---

1. 脆弱性の概要

CVE-2025-53770は、Microsoft SharePoint Server (オンプレミス版) における、信頼できないデータの逆シリアル化 (deserialization of untrusted data) に起因するリモートコード実行 (RCE) の脆弱性です。この脆弱性は「ToolShell」と呼称されており、認証されていない攻撃者がネットワーク経由でコードを実行できる可能性があります。この脆弱性は、以前にパッチが適用されたCVE-2025-49704およびCVE-2025-49706の派生、または不完全な修正に起因するとされています。

1.1 影響

攻撃者は、認証なしで脆弱なSharePointサーバーにアクセスし、リモートで任意のコードを実行することが可能になります。これにより、すべてのコンテンツやファイルシステムへのアクセスが可能となる他、暗号化されたマシンキー (ValidationKeyおよびDecryptionKey) の抽出を許すことで、偽造された__VIEWSTATEペイロードを介した永続的なRCEを引き起こす可能性があります。結果として、機密情報の漏洩、データの改ざん、システムの可用性への影響、およびウェブシェルの展開と実行が可能となります。

1.2 深刻度

この脆弱性は「Critical（緊急）」と評価されており、CVSSv3.1の基本スコアは9.8です。

---

2. 対象となる環境

2.1 影響を受けるOSバージョン

不明（OSバージョンではなく、以下のSharePoint Serverのバージョンが影響を受けます）

2.2 影響を受ける設定

この脆弱性は、オンプレミスのMicrosoft SharePoint Serverに影響を与えます。具体的には、以下のバージョンが影響を受けます。

• Microsoft SharePoint Server Subscription Edition
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Server 2016

なお、Microsoft 365のSharePoint Onlineは影響を受けません。

---

3. 影響を受けた時の兆候

Microsoft Defender for Endpointは、以下のような脅威活動を示す可能性のあるアラートを提供しています。ただし、これらのアラートは無関係な脅威活動によってもトリガーされる場合があります。

• Possible web shell installation (ウェブシェルインストールの可能性)
• Possible exploitation of SharePoint server vulnerabilities (SharePointサーバーの脆弱性悪用の可能性)
• Suspicious IIS worker process behavior (疑わしいIISワーカープロセスの動作)
• IIS worker process loaded suspicious .NET assembly (IISワーカープロセスが疑わしい.NETアセンブリをロードした)
• 'SuspSignoutReq' malware was blocked on a SharePoint server (SharePointサーバーで「SuspSignoutReq」マルウェアがブロックされた)
• 'HijackSharePointServer' malware was blocked on a SharePoint server (SharePointサーバーで「HijackSharePointServer」マルウェアがブロックされた)

また、攻撃者が C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys 下にあるマシンキーを検索していることが確認されています。

---

4. 推奨対策

4.1 本対策

Microsoftは、2025年7月19日に本脆弱性に対処するセキュリティ更新プログラムをリリースしています。

• Microsoftが提供するセキュリティ更新プログラムを直ちに適用してください。
• SharePoint製品をサポートされているバージョンにアップグレードしてください (必要に応じて)。

4.2 暫定回避策（緩和策）

• マシンキーをローテーションしてください。
• SharePointでAntimalware Scan Interface (AMSI) 統合を設定し、HTTPリクエストボディスキャンが利用可能な場合は「Full Mode」を有効にしてください。
• すべてのSharePointサーバーにMicrosoft Defender Antivirusを展開してください。
• Symantec Data Center Security (DCS) のデフォルトのMicrosoft IIS向け強化機能は、ウェブシェルの展開と実行を防止することで、この脆弱性に対するゼロデイ保護を提供します。
• DCSのネットワークルールにより、SharePointサーバーでのインターネットへの接続をブロックし、攻撃対象領域を減らすことができます。
• サーバーを隔離してください。

---

他に解説すべき観点

• 攻撃の発見と報告:
  • 2025年7月18日にEye Securityによって、この脆弱性を悪用する攻撃が最初に報告されました。
  • Microsoft Security Response Centerは、Viettel Cyber SecurityがTrend MicroのZero Day Initiative (ZDI) を通じて本脆弱性を発見し、責任ある情報開示を行ったことを公表しています。
  • この脆弱性は、Pwn2Own Berlin 2025でViettel Cyber Securityによって開示された、CVE-2025-49706およびCVE-2025-49704の組み合わせによる連鎖攻撃の一部として、ToolShell攻撃チェーンが実証されたものです。
• CISA KEVカタログへの追加:
  • 本脆弱性は、米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) のKnown Exploited Vulnerabilities (KEV) カタログに追加されており、活発な悪用が確認されています。
• 脅威アクター:
  • Microsoftは、この攻撃をLinen Typhoon、Violet Typhoon、およびStorm-2603という脅威アクターに帰属させています。
    • Linen Typhoonは、主に政府、防衛、戦略的計画、人権関連組織を標的とした知的財産窃盗に焦点を当てています。
    • Violet Typhoonは、主に元政府・軍関係者、非政府組織 (NGO)、シンクタンク、高等教育機関、デジタル・印刷メディア、米国、ヨーロッパ、東アジアの金融・医療関連部門を標的としたスパイ活動に専念しています。
• PoCの公開と大規模な悪用:
  • エクスプロイトの公開されたProof-of-Concept (PoC) がすぐに登場し、広範な悪用を助長しました。
  • 2025年7月21日の時点で、235,000以上のSharePointサービスが脆弱であると推定され、活発な悪用が報告されています。
  • 金融、教育、エネルギー、ヘルスケアなど、幅広い業界で悪用が観測されています。

---

参照したサイト

• CVE-2025-53770: Microsoft SharePoint Server RCE Vulnerability - SentinelOne
• CVE-2025-53770 - Critical SharePoint Zero-Day vulnerability exploited in the wild
• Proactive Security Insights for SharePoint Attacks (CVE-2025-53770 and CVE-2025-53771)
• CVE-2025-53770: Critical Zero-Day in Microsoft SharePoint! Guidance for Community Defenders - Inland Cyber Defense Clinic (ICDC)
• CVE-2025-53770 | Tenable®
• Detect and respond to the SharePoint ToolShell RCE (CVE-2025-53770) | Axonius
• NVD-CVE-2025-53770 - NIST
• Customer guidance for SharePoint vulnerability CVE-2025-53770 - Microsoft
• CVE-2025-53770: Zero-Day Exploit Impacts Microsoft SharePoint Services - Zscaler
• Threat Briefing: CVE-2025-53770 “ToolShell” – Active SharePoint Zero Day - Ontinue