Microsoft SharePoint Server est une plateforme collaborative basée sur le web largement utilisée par les entreprises pour la gestion de documents, les portails internes et comme référentiel central pour des informations professionnelles cruciales, ce qui en fait une cible de grande valeur pour les acteurs malveillants.

Cette vulnérabilité représente un risque significatif car elle permet à un attaquant distant non authentifié de contourner tous les contrôles d’authentification et d’usurper l’identité d’utilisateurs légitimes. Cela pourrait accorder à l’attaquant un accès direct à des documents internes sensibles, à la propriété intellectuelle et aux données personnelles (PII) stockées dans l’environnement SharePoint. L’impact est amplifié pour les organisations qui utilisent SharePoint comme système de référence ou pour des flux de travail critiques pour l’entreprise.

Bien qu’il n’y ait aucune preuve d’exploitation active dans la nature, un exploit de type preuve de concept (PoC) est publiquement disponible. Les contournements d’authentification dans les plateformes d’entreprise omniprésentes sont des cibles privilégiées pour les attaques opportunistes et ciblées. Compte tenu de l’importance de la plateforme et de la disponibilité publique d’un exploit, les organisations doivent considérer cette vulnérabilité comme une priorité élevée. Les serveurs SharePoint exposés à Internet sont ceux qui présentent le risque le plus immédiat.

Produit	Microsoft SharePoint Server
Date	04-12-2025 00:27:17

Résumé technique

La cause technique profonde de cette vulnérabilité est classée sous le nom de CWE-287 : Authentification incorrecte. Le serveur SharePoint ne parvient pas à valider correctement l’identité d’un utilisateur ou d’un service lors du processus d’authentification, permettant à un attaquant distant non authentifié d’effectuer une attaque par usurpation d’identité.

L’attaque se déroule selon la séquence logique suivante :

1. L’attaquant envoie un paquet réseau spécialement conçu vers un point de terminaison du serveur SharePoint impliqué dans l’authentification.
2. La requête est malformée de manière à exploiter une faille dans la logique de validation d’identité du serveur, l’incitant à faire confiance par erreur aux affirmations fournies par l’attaquant.
3. Le serveur traite la requête comme si elle provenait d’un utilisateur légitime usurpé, accordant à l’attaquant une session authentifiée avec les privilèges de cet utilisateur.

Une exploitation réussie confère à l’attaquant la capacité d’effectuer n’importe quelle action en tant qu’utilisateur usurpé. Si un compte administrateur est usurpé avec succès, l’attaquant pourrait obtenir un contrôle total sur la collection de sites SharePoint, lui permettant de lire, modifier ou exfiltrer toutes les données stockées, de créer de nouveaux comptes administratifs ou de supprimer des sites entiers.

Versions concernées : Les versions spécifiques de Microsoft SharePoint Server concernées n’ont pas été divulguées publiquement. Les administrateurs doivent supposer que toutes les versions actuelles sont vulnérables jusqu’à l’application d’un correctif.

Versions corrigées : Un correctif de sécurité est prévu de la part du fournisseur. Les administrateurs doivent surveiller les mises à jour relatives à la CVE-2025-53771.

Recommandations

• Appliquer le correctif immédiatement : Appliquez les mises à jour de sécurité relatives à la CVE-2025-53771 fournies par Microsoft dès qu’elles sont disponibles. Donnez la priorité à la correction des serveurs exposés à Internet.
• Atténuations : S’il n’est pas possible d’appliquer le correctif immédiatement, limitez l’accès réseau aux serveurs SharePoint. Si un accès externe est nécessaire pour des raisons professionnelles, assurez-vous qu’il est protégé par un pare-feu d’application web (WAF) avec des règles conçues pour inspecter et valider les requêtes d’authentification. Implémentez l’authentification multifacteur (MFA) pour tous les utilisateurs, car cela peut compliquer la capacité de l’attaquant à exploiter une session usurpée avec succès.
• Recherche et surveillance : Surveillez attentivement les journaux d’authentification de SharePoint et des contrôleurs de domaine à la recherche d’anomalies. Vérifiez les accès utilisateurs réussis depuis des adresses IP inhabituelles, les nombreuses tentatives de connexion infructueuses suivies d’un succès soudain, ou d’autres modèles d’accès qui s’écartent des habitudes typiques d’un utilisateur donné.
• Réponse aux incidents : En cas de suspicion de compromission, isolez immédiatement le serveur SharePoint du réseau pour empêcher toute exfiltration de données supplémentaire ou mouvement latéral. Sécurisez tous les journaux pertinents (UAG, WAF, IIS, journaux d’événements de sécurité Windows et ULS SharePoint) pour l’analyse forensique. Partez du principe que toutes les données sur la plateforme ont été compromises et entamez une évaluation des dommages.
• Défense en profondeur : Mettez en œuvre des contrôles d’accès stricts avec le principe du moindre privilège sur tous les sites SharePoint, afin de garantir qu’en cas d’usurpation d’un utilisateur non privilégié, l’accès de l’attaquant aux données sensibles soit limité. Effectuez régulièrement des sauvegardes de toutes les données SharePoint et conservez-les dans un emplacement sécurisé et hors ligne pour garantir la restauration dans les pires scénarios.

[Callforaction-THREAT-Footer]