{"id":148172,"date":"2025-07-31T09:16:42","date_gmt":"2025-07-31T16:16:42","guid":{"rendered":"https:\/\/unit42.paloaltonetworks.com\/?p=148172"},"modified":"2025-08-04T08:15:03","modified_gmt":"2025-08-04T15:15:03","slug":"microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770","status":"publish","type":"post","link":"https:\/\/unit42.paloaltonetworks.com\/fr\/microsoft-sharepoint-cve-2025-49704-cve-2025-49706-cve-2025-53770\/","title":{"rendered":"Exploitation active des vuln\u00e9rabilit\u00e9s Microsoft\u00a0SharePoint (Mise \u00e0 jour le 31 juillet)"},"content":{"rendered":"

<\/a>Avant-propos<\/h2>\n

Mise \u00e0 jour du 31 juillet 2025<\/strong><\/p>\n

Une enqu\u00eate sur l'exploitation de ToolShell a r\u00e9v\u00e9l\u00e9 le d\u00e9ploiement du ransomware 4L4MD4R, une variante du ransomware open source Mauri870.<\/span><\/p>\n

Une tentative d'exploitation infructueuse le 27 juillet 2025, impliquant une commande PowerShell encod\u00e9e, a men\u00e9 \u00e0 la d\u00e9couverte d'un <\/span>loader<\/span><\/i> con\u00e7u pour t\u00e9l\u00e9charger et ex\u00e9cuter le ransomware depuis hxxps:\/\/ice.theinnovationfactory[.]it\/static\/4l4md4r.exe (145.239.97[.]206)<\/span>.<\/span><\/p>\n

La commande PowerShell tentait de d\u00e9sactiver la surveillance en temps r\u00e9el et de contourner la validation des certificats. Tous les d\u00e9tails se trouvent dans la section \u00ab P\u00e9rim\u00e8tre de l'attaque \u00bb.<\/span><\/p>\n

Mise \u00e0 jour du 29 juillet 2025<\/b><\/p>\n

La t\u00e9l\u00e9m\u00e9trie de Unit 42 a d\u00e9tect\u00e9 des tentatives d'exploitation de la vuln\u00e9rabilit\u00e9 CVE\u22122025\u221253770 entre le 17 juillet 2025, 08h40 UTC, et le 22 juillet 2025. Ces tentatives provenaient d'une activit\u00e9 malveillante suivie sous le nom de <\/span>CL-CRI-1040<\/b>.<\/span><\/p>\n

Des tests de vuln\u00e9rabilit\u00e9 en pr\u00e9-exploitation sur des servers SharePoint, men\u00e9s par des adresses IP associ\u00e9es \u00e0 <\/span>CL-CRI-1040<\/b>, ont \u00e9t\u00e9 observ\u00e9s \u00e0 partir du 17 juillet 2025, 06h58 UTC. Les sch\u00e9mas des tentatives d'exploitation indiquent l'utilisation d'une liste de ciblage statique de servers SharePoint.<\/span><\/p>\n

L'une des adresses IP exploitant la CVE\u22122025\u221253770 dans le cadre de l'activit\u00e9 <\/span>CL-CRI-1040<\/b> est \u00e9galement associ\u00e9e au cluster <\/span>Storm-2603<\/b> mentionn\u00e9 par Microsoft<\/a>. Nous analysons actuellement ce cluster pour obtenir plus d'informations sur les acteurs impliqu\u00e9s.<\/span><\/p>\n

Unit 42 suit de pr\u00e8s une activit\u00e9 malveillante en cours et \u00e0 fort impact ciblant les servers Microsoft SharePoint d\u00e9ploy\u00e9s auto-h\u00e9berg\u00e9. Si les environnements cloud ne sont pas concern\u00e9s \u00e0 ce jour, les d\u00e9ploiements SharePoint auto-h\u00e9berg\u00e9s \u2013 en particulier dans les administrations, les \u00e9tablissements scolaires, les structures de sant\u00e9 (notamment les h\u00f4pitaux) et les grandes entreprises \u2013 sont expos\u00e9s \u00e0 un risque imm\u00e9diat.<\/p>\n

Les servers Microsoft SharePoint sur site font actuellement l'objet d'une exploitation active et g\u00e9n\u00e9ralis\u00e9e en raison de multiples vuln\u00e9rabilit\u00e9s, collectivement appel\u00e9es \"ToolShell\" (CVE-2025-49704<\/a>, CVE-2025-49706<\/a>, CVE-2025-53770, <\/a>CVE-2025-53771<\/a>). Ces vuln\u00e9rabilit\u00e9s permettent aux attaquants d'obtenir une ex\u00e9cution compl\u00e8te de code \u00e0 distance (RCE) sans authentification. Un server SharePoint compromis repr\u00e9sente un risque important pour les organisations, car il peut servir de passerelle vers d'autres services int\u00e9gr\u00e9s de Microsoft.<\/p>\n

Outre les bulletins\u00a0CVE, Microsoft a publi\u00e9 des recommandations suppl\u00e9mentaires<\/a> concernant ces failles. Le tableau\u00a01 d\u00e9taille les vuln\u00e9rabilit\u00e9s concern\u00e9es, leurs scores\u00a0CVSS et leur description.<\/p>\n\n\n\n\n\n\n\n
N\u00b0 de CVE<\/strong><\/td>\nDescription<\/strong><\/td>\nScore CVSS<\/strong><\/td>\n<\/tr>\n
CVE-2025-49704<\/a><\/td>\nContr\u00f4le inad\u00e9quat de la g\u00e9n\u00e9ration de code (injection de code) dans Microsoft\u00a0Office SharePoint, permettant \u00e0 un attaquant authentifi\u00e9 d\u2019ex\u00e9cuter du code \u00e0 distance.<\/td>\n8,8<\/td>\n<\/tr>\n
CVE-2025-49706<\/a><\/td>\nAuthentification incorrecte dans Microsoft\u00a0Office SharePoint, permettant \u00e0 un attaquant authentifi\u00e9 de mener une attaque par usurpation d\u2019identit\u00e9 sur un r\u00e9seau.<\/td>\n6,5<\/td>\n<\/tr>\n
CVE-2025-53770<\/a><\/td>\nD\u00e9s\u00e9rialisation de donn\u00e9es non fiables dans Microsoft\u00a0SharePoint Server d\u00e9ploy\u00e9 sur place, permettant \u00e0 un attaquant non authentifi\u00e9 d\u2019ex\u00e9cuter du code \u00e0 distance.<\/td>\n9,8<\/td>\n<\/tr>\n
CVE-2025-53771<\/a><\/td>\nLimitation incorrecte du chemin d\u2019acc\u00e8s \u00e0 un r\u00e9pertoire restreint (\u00ab\u00a0path\u00a0traversal\u00a0\u00bb) dans Microsoft\u00a0Office SharePoint, permettant \u00e0 un attaquant authentifi\u00e9 de mener une attaque par usurpation d\u2019identit\u00e9.<\/td>\n6,5<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Tableau\u00a01. Liste des vuln\u00e9rabilit\u00e9s r\u00e9centes affectant Microsoft\u00a0SharePoint.<\/p>\n

Ces vuln\u00e9rabilit\u00e9s concernent toutes Microsoft\u00a0SharePoint Enterprise\u00a0Server\u00a02016 et 2019. Les CVE-2025-49706 et CVE-2025-53770 affectent \u00e9galement Microsoft\u00a0SharePoint Server\u00a0Subscription\u00a0Edition. Microsoft pr\u00e9cise que SharePoint\u00a0Online, int\u00e9gr\u00e9 \u00e0 Microsoft\u00a0365, n\u2019est pas concern\u00e9.<\/p>\n

Nous collaborons \u00e9troitement avec le Microsoft\u00a0Security Response\u00a0Center\u00a0(MSRC) afin de fournir \u00e0 nos clients les informations les plus r\u00e9centes. Par ailleurs, nous contactons activement les clients et organisations potentiellement affect\u00e9s. La situation \u00e9voluant rapidement, il est recommand\u00e9 de consulter r\u00e9guli\u00e8rement les recommandations de Microsoft.<\/p>\n

Nous avons observ\u00e9 une exploitation active de ces vuln\u00e9rabilit\u00e9s\u00a0SharePoint. Les attaquants contournent les m\u00e9canismes d\u2019authentification, y compris l\u2019authentification multifacteur\u00a0(MFA) et l\u2019authentification unique\u00a0(SSO), pour obtenir des acc\u00e8s privil\u00e9gi\u00e9s. Une fois dans le syst\u00e8me, ils exfiltrent des donn\u00e9es sensibles, d\u00e9ploient des portes d\u00e9rob\u00e9es persistantes et volent des cl\u00e9s cryptographiques.<\/p>\n

Ces vuln\u00e9rabilit\u00e9s leur permettent d\u2019acc\u00e9der aux syst\u00e8mes, et dans certains cas, de s\u2019y \u00e9tablir durablement. Si votre instance\u00a0SharePoint sur place est expos\u00e9e \u00e0 Internet, partez du principe qu\u2019elle a d\u00e9j\u00e0 \u00e9t\u00e9 compromise. Le correctif seul ne suffit pas \u00e0 \u00e9radiquer totalement la menace.<\/p>\n

Nous appelons toutes les organisations utilisant une instance\u00a0SharePoint sur place vuln\u00e9rable \u00e0 prendre imm\u00e9diatement les mesures suivantes\u00a0:<\/p>\n