ToolShell: SharePoint-Exploit bedroht US-Nuklearbehörde – OTOKO Media GmbH hilft, solche Schwachstellen zu beheben

Der „ToolShell“-Exploit in Microsoft SharePoint ist einer der unverschämtesten Bugs des Jahres. Er erlaubte nicht nur die angebliche Kompromittierung der US-amerikanischen National Nuclear Security Administration (NNSA), sondern demonstriert auch die Frustration, die mit der Verwaltung von Windows-Servern verbunden ist. Diese Schwachstelle, die unter aktiver Massen-Ausnutzung steht, kombiniert einen Authentifizierungs-Bypass mit einer unsicheren Deserialisierungs-Lücke und führt zu einer vollständigen Kompromittierung des Systems. Als OTOKO Media GmbH sind wir darauf spezialisiert, Unternehmen vor genau solchen Bedrohungen zu schützen.

CVSS Score9.8 (Kritisch)

AngriffsketteAuthentifizierungs-Bypass + Deserialisierung

Betroffene SoftwareMicrosoft SharePoint Server

Wie der Exploit funktioniert

Der ToolShell-Exploit kombiniert zwei separate, aber verheerende Schwachstellen. Bug Nummer eins ist ein Authentifizierungs-Bypass: Durch das Fälschen des „Referer“-HTTP-Headers mit dem Wert „/_layouts/SignOut.aspx“ kann ein Angreifer die Authentifizierung umgehen, da der Server fälschlicherweise annimmt, der Benutzer sei bereits legitim angemeldet. Dies allein ist bereits kritisch, aber in Verbindung mit der zweiten Lücke wird es zur Katastrophe. Der zweite Bug ist eine **unsichere Deserialisierung**. Nach dem Bypass der Authentifizierung kann der Angreifer eine präparierte, serialisierte Datennutzlast senden. SharePoint deserialisiert diese Daten, was dazu führt, dass bösartiger .NET-Code ausgeführt wird. Dies ähnelt der Funktionsweise des Python-Pickle-Moduls, bei dem unsichere Daten zu beliebigem Code auf dem Server führen können. Diese Kombination ermöglicht Angreifern, ohne Zugangsdaten die volle Kontrolle über den SharePoint-Server zu übernehmen. An diesem Punkt können Angreifer ihre Malware installieren, Persistenz etablieren und die Kontrolle über das gesamte Netzwerk erlangen. OTOKO Media GmbH bietet **umfassende Code-Reviews und Penetrationstests** an, um derartige logische Schwachstellen in Ihrer Software-Architektur zu identifizieren und zu beheben, bevor sie ausgenutzt werden können.

Bug #1: Authentifizierungs-Bypass über den Referer-Header.
Bug #2: Unsichere Deserialisierung von .NET-Daten.
Kombination beider Schwachstellen führt zu Remote Code Execution (RCE) ohne Anmeldung.
Angreifer können die volle Kontrolle über den SharePoint-Server übernehmen.

Massen-Ausnutzung und betroffene Systeme

Dieser Angriff ist besonders alarmierend, da er aktiv ausgenutzt wird und **Microsoft SharePoint** eine so weit verbreitete Software ist – selbst bei Regierungsorganisationen wie der NNSA. Die Schwachstelle betrifft **On-Premises-Versionen** von SharePoint Server und wird durch eine einfache **curl**-Anfrage ausgelöst, was die Ausführung des Exploits trivial macht. Die Angreifer konnten auf diese Weise **Reverse Shells** etablieren und sich auf den kompromittierten Systemen einnisten. Unternehmen müssen verstehen, dass auch eine vermeintlich sichere, gehostete Software Risiken bergen kann, wenn sie nicht kontinuierlich gepflegt und überwacht wird. OTOKO Media GmbH unterstützt Sie mit **Managed Security Services** und **automatisierter Schwachstellenanalyse**, um Ihre Infrastruktur in Echtzeit zu überwachen und Sie proaktiv vor solchen Angriffen zu schützen.

Betroffen sind On-Premises-Versionen von Microsoft SharePoint Server.
Der Exploit wird aktiv von Hackern ausgenutzt.
Auch staatliche Einrichtungen, wie die NNSA, waren angeblich betroffen.

Die Rolle von KI und warum Rust nicht geholfen hätte

Der Exploit ist so unkonventionell, dass er eine spannende Frage aufwirft: Hätte eine moderne Programmiersprache wie Rust dies verhindert? Die Antwort lautet **wahrscheinlich nicht**. Die Schwachstelle ist keine Folge von Speicherfehlern oder Korruption, die Rust verhindern würde. Es handelt sich um einen logischen Fehler, bei dem die **Vertrauensgrenzen** nicht korrekt implementiert wurden. Die Kombination eines Authentifizierungs-Bypasses mit unsicherer Deserialisierung ist ein logischer Design-Fehler. Dies ist besonders relevant im Zeitalter der **KI-gestützten Programmierung**. Wenn KI-Tools auf unsicheren Code-Beispielen trainiert werden, können sie solche **logischen Lücken** reproduzieren, ohne deren Sicherheitsrisiken zu verstehen. Ein Entwickler muss die von der KI generierten Vorschläge weiterhin kritisch hinterfragen und **Zero-Trust-Prinzipien** anwenden, bei denen keine Eingabe blind vertraut wird. Wir bei OTOKO Media GmbH bieten **Sicherheitsberatung und Schulungen** an, um Entwickler-Teams für diese Art von Bedrohungen zu sensibilisieren und die sichersten Programmierpraktiken zu implementieren.

Rust hätte die Schwachstelle nicht behoben, da es sich um einen logischen und keinen Speicherfehler handelt.
KI-Tools könnten solche logischen Fehler durch unsichere Trainingsdaten reproduzieren.
Fehler bei der Implementierung von Zero-Trust-Architekturen.

Empfehlungen zur Behebung

Microsoft hat umgehend Patches für die betroffenen SharePoint-Versionen (einschließlich 2016, 2019 und Subscription Edition) veröffentlicht. Für alle Administratoren ist es von entscheidender Bedeutung, diese Updates sofort zu installieren. Darüber hinaus sollten ASP.NET **Machine Keys** rotiert werden, um Angreifern die Persistenz zu nehmen, falls ihre Server bereits kompromittiert sind. Die Schwachstelle wurde von der CISA in ihren „Known Exploited Vulnerabilities Catalog“ (KEV) aufgenommen, was die Dringlichkeit unterstreicht. Bei der OTOKO Media GmbH können wir Sie bei der **schnellen Implementierung solcher Patches** unterstützen und sicherstellen, dass Ihre Systeme wieder sicher sind.

Dringendes Patchen aller betroffenen SharePoint-Server ist notwendig.
Zusätzlich die ASP.NET Machine Keys rotieren.
Die Schwachstelle ist in der CISA-Datenbank für aktiv ausgenutzte Schwachstellen gelistet.

ToolShell: SharePoint-Exploit bedroht US-Nuklearbehörde – OTOKO Media GmbH hilft, solche Schwachstellen zu beheben

Wie der Exploit funktioniert

Massen-Ausnutzung und betroffene Systeme

Die Rolle von KI und warum Rust nicht geholfen hätte

Empfehlungen zur Behebung

Quellen

Gemeinsam zum Erfolg – Ihr Partner für innovative Lösungen

Unsere Leistungen

Industrien

Über Uns

Zertifizierungen

Karriere

Blog

Kontakt