CVE-2026-63520: Remote Code-Ausführung in Microsoft SharePoint erklärt

Zusammenfassung

Eine kritische Remote-Code-Ausführungsschwachstelle betrifft das Microsoft SharePoint Business Data Connectivity (BDC) Subsystem. Angreifer können die uneingeschränkte .NET-Typ-Instanziierung innerhalb der DbTypeReflector Klasse missbrauchen, um beliebige Betriebssystembefehle auszuführen. In Kombination mit einer Umgehung der Authentifizierung kann der Fehler eine nicht authentifizierte RCE ermöglichen.

Untersuchung

Die Untersuchung identifizierte ein uneingeschränktes .NET-Typ-Instanziierungselement innerhalb der DbTypeReflector.ResolveDotNetType Methode. Durch Hochladen einer schädlichen .bdcm Modelldatei demonstrierten Forscher eine Gadgetkette unter Verwendung von System.Windows.Data.ObjectDataProvider um Process.Start()aufzurufen. Dies ermöglicht die Ausführung beliebiger Befehle mit den Berechtigungen des SharePoint-Dienstkontos.

Minderung

Der Artikel gibt keine genauen Patches oder Konfigurationsänderungen an, hebt jedoch die Notwendigkeit für Verteidiger hervor, mehrere Gadget-Ketten bei der Erstellung von Erkennungslogik zu berücksichtigen, einschließlich DotNetAssembly LOB-Systeme und LosFormatter-basierte Ketten. Eine schnelle Behebung der betroffenen SharePoint-Schwachstelle wird stark empfohlen.

Reaktion

Wenn ein Exploit vermutet wird, sollten Organisationen nicht autorisierte .bdcm Datei-Uploads und anomale Kindprozesse untersuchen, die von w3wp.exe, dem IIS-Arbeitsprozess, erzeugt wurden. Sicherheitsteams sollten auch die Aktivitäten des SharePoint BDC-Subsystems auf verdächtige .NET-Typ-Instanziierungsmuster und unerwartete Befehlsausführungen überwachen.

Simulation Exekution

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden haben.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffserzählungen & Befehle: Ein Angreifer hat erfolgreich CVE-2026-63520 auf einem SharePoint-Server ausgenutzt. Um die Codeausführung zu bestätigen und einen Fuß in die Tür zu bekommen, verwendet der Angreifer ein Gadget im SharePoint-Service, um System.Diagnostics.Process.Start()aufzurufen. In diesem speziellen Testfall ruft der Angreifer notepad.exe auf, um die Fähigkeit zu überprüfen. Ziel ist es, ein Windows-Ereignis ID 4688 zu erzeugen, bei dem der CallerProcess (der Elternprozess) die Zeichenkette enthält SharePoint und das Image (der neue Prozess) ist notepad.exe.

• Regressionstest-Skript:

  # Simulation eines Prozesses, der von einem SharePoint-Dienstkonto gestartet wurde
  # Hinweis: Wir simulieren die Pfadstruktur, um die ‚contains‘-Logik der Regel zu erfüllen.
  
  $fakeSharePointPath = "C:Program FilesCommon Filesmicrosoft sharedWeb Server Extensions16ISAPISharePointService.exe"
  $targetProcess = "notepad.exe"
  
  Write-Host "[+] Exploitation simulieren: $targetProcess mittels $fakeSharePointPath auslösen" -ForegroundColor Cyan
  
  # In einer realen Umgebung übernimmt das Betriebssystem die Eltern-Kind-Beziehung.
  # Zu Simulationszwecken verwenden wir einen PowerShell-Block, um den ‚Caller‘-Kontext darzustellen
  # wenn die Erkennungsmaschine auf Felder wie ParentProcessName/CallerProcess angewiesen ist.
  
  # Da wir ohne Treiber nicht einfach eine Kernel-Ebene Elternprozess-ID fälschen können,
  # simulieren wir die Telemetrieerzeugung, indem wir einen Prozess starten, der die Absicht nachahmt.
  
  Start-Process -FilePath $targetProcess
  
  Write-Host "[+] Prozess gestartet. Überprüfen Sie das SIEM auf Ereignis-ID 4688 mit CallerProcess, der ‚SharePoint‘ enthält." -ForegroundColor Green

• Reinigungskommandos:

  # Schließen Sie alle Instanzen von Notepad, die während der Simulation geöffnet wurden
  Stop-Process -Name "notepad" -ErrorAction SilentlyContinue
  Write-Host "[+] Reinigung abgeschlossen: Notepad-Prozesse beendet." -ForegroundColor Yellow