一位安全研究人员找到了一种新方法来利用Microsoft SharePoint 中最近修补的反序列化漏洞并发动远程代码执行 (RCE) 攻击。

该漏洞是 2 月份修补的一个问题的变体，它使用Microsoft的 Intranet 平台 SharePoint 的网站创建功能在服务器上上传和运行恶意文件。

许多语言使用序列化和反序列化将复杂对象传递到服务器和进程之间。如果反序列化过程不安全，攻击者将能够利用它发送恶意对象并在服务器上运行它们。

StarLabs 的安全研究员 Nguyễn Tiến Giang (Jang) 发现，当以某种方式配置 SharePoint 服务器时，它们很容易受到反序列化攻击，从而导致RCE。

在一篇详细的博客文章中，Jang 解释说，攻击者可以通过在服务器上创建一个 SharePoint 列表并上传带有反序列化有效负载的恶意小工具链作为 PNG 附件来利用该漏洞。

通过发送上传文件的渲染请求，攻击者将触发漏洞并在服务器上执行有效载荷。

“成功的攻击可能使攻击者能够在具有运行 w3wp.exe 进程的特权的目标服务器中执行代码，”Jang 告诉The Daily Swig，指的是运行 Web 应用程序的 IIS 工作进程。

幸运的是，该漏洞只能被经过身份验证的对手利用，并且当应用程序处于默认关闭的配置中时。

“幸运的是，这个错误在默认配置的 SharePoint 中不存在，”Jang 说。“它需要具有‘创建子站点’权限的用户，并且必须启用目标服务器中的状态服务。”

Microsoft在 5 月的 Patch Tuesday 版本中修补了该错误 ( CVE-2022-29108 )。

ang 在分析 CVE-2022-22005 时发现了该漏洞。事实证明，还有另一种方法可以触发相同的错误。

“实际上，这个漏洞很容易[发现]。三月份有一篇关于它的分析博客文章。只需按照该博客文章中的说明进行操作，人们就可以轻松发现 CVE-2022-22005 的新变种，”Jang 说。

Jang 将该漏洞描述为“新瓶装旧酒”，并在推特上发布了一个基于此主题的meme 。

对 CVE-2022-22005进行详细分析的Nguyễn Đình Hoàng (hir0ot)告诉The Daily Swig，通常有两种方法可以修复反序列化错误：限制反序列化不受信任数据的端点或使用基于白名单的类型绑定器。

“两者都很难在现实世界中有效实施，特别是当序列化/反序列化发生在多年前开发的核心协议、框架或应用程序中时，”hir0ot 说。

“而且修复也不能影响应用程序的功能工作。任何修复都容易导致错误。”