Exploit for Deserialization of Untrusted Data in Microsoft

## https://sploitus.com/exploit?id=12ED370F-7BD4-56F7-B574-4F27A4F5E2F2
# CVE-2025-53770-Checker
Comprueba si un servidor SharePoint on-premises es vulnerable a CVE-2025-53770

**Detector no intrusivo** de la vulnerabilidad CVE-2025-53770 en SharePoint Server  
Desarrollo: Division81 (equipo de hackers éticos de Grupo Oruss)

## Descripción técnica

- **CVE-2025-53770** es un fallo crítico de deserialización de .NET en el gestor de ViewState de SharePoint on-premises que permite RCE sin autenticación :contentReference[oaicite:1]{index=1}.
- El exploit emplea un POST a `/ _layouts/15/ToolPane.aspx?DisplayMode=Edit` con payloads de ViewState maliciosos (firmados) que desatan `SerializationException` y suelen escribir web shells (`spinstall0.aspx`) en la carpeta LAYOUTS :contentReference[oaicite:2]{index=2}.
- Parte de la “ToolShell” exploit chain junto a CVE-2025-49706 y CVE-2025-49704, utilizada en campañas APT recientes :contentReference[oaicite:3]{index=3}.

## Requisitos

- Python ≥ 3.7  
- Módulo `requests` (`pip install requests`)

## Uso

git clone https://github.com/tu-org/division81-sp-checker.git
cd division81-sp-checker
pip install -r requirements.txt
python check_sp_cve2025_53770.py https://sharepoint.local/ -e 2019


## Referencias

MSRC Blog: Customer guidance for SharePoint vulnerability CVE-2025-53770
https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/

## Licencia

**MIT © Grupo Oruss – Division81**