Microsoft SharePoint è una piattaforma collaborativa basata sul web, ampiamente utilizzata in ambienti aziendali per la gestione documentale, portali intranet e business intelligence. Il suo ruolo centrale nella condivisione dei dati aziendali e nell’automazione dei flussi di lavoro la rende un obiettivo di alto valore per gli attaccanti.

Questa vulnerabilità rappresenta un rischio moderato ma significativo poiché consente a un attaccante non autenticato sulla rete di compromettere il meccanismo di autenticazione della piattaforma, portando ad attacchi di spoofing. L’impatto primario è la perdita di integrità e fiducia, che può essere sfruttata come punto d’ingresso per attacchi più sofisticati, inclusi phishing mirato, furto di credenziali e accesso non autorizzato ai dati.

È importante sottolineare che, sebbene esista un exploit proof-of-concept pubblico, non ci sono evidenze di sfruttamenti attivi in natura, e questa vulnerabilità non è attualmente elencata nel catalogo KEV (Known Exploited Vulnerabilities) della CISA. Tuttavia, tutte le istanze di SharePoint accessibili dalla rete devono essere considerate a rischio, in particolare quelle esposte su internet.

Riassunto tecnico

La causa principale di questa vulnerabilità è un difetto di autenticazione impropria all’interno di Microsoft SharePoint. Il componente e il codice specifici responsabili non sono stati divulgati pubblicamente, ma il meccanismo non verifica adeguatamente l’identità dell’attore durante il processo di autenticazione. Questo consente a un attaccante remoto e non autenticato di impersonare un utente legittimo o lo stesso server SharePoint.

La catena di attacco si sviluppa come segue:

1. L’attaccante invia una richiesta appositamente costruita a un server SharePoint vulnerabile attraverso la rete.
2. La logica di autenticazione difettosa del server elabora la richiesta senza eseguire sufficienti verifiche crittografiche o sull’identità.
3. Il sistema considera erroneamente l’attaccante come un’entità attendibile, consentendo il successo dell’attacco di spoofing.

Un attaccante può sfruttare questa capacità per intercettare o modificare le comunicazioni, reindirizzare utenti autenticati verso siti malevoli o indurre socialmente gli utenti a compiere azioni che compromettono i dati.

Versioni affette:

• Le versioni specifiche di Microsoft SharePoint interessate non sono state dettagliate dal fornitore. Si consiglia agli amministratori di consultare l’avviso di sicurezza ufficiale di Microsoft per questo CVE per informazioni precise sulle patch.

Disponibilità di correzioni:

• Le patch sono disponibili da Microsoft e devono essere applicate immediatamente.

Raccomandazioni

• Applicare le patch immediatamente: Applicare gli aggiornamenti di sicurezza rilasciati da Microsoft per CVE-2025-49706 su tutti i server SharePoint presenti nell’ambiente.
• Mitigazioni:
  • Limitare l’accesso al server SharePoint da internet dove possibile. Se l’accesso esterno è necessario, posizionarlo dietro un reverse proxy con autenticazione preventiva o un Web Application Firewall (WAF) con regole progettate per ispezionare il traffico SharePoint.
  • Applicare l’autenticazione a più fattori (MFA) per tutti gli utenti per fornire un ulteriore livello di sicurezza che può mitigare l’impatto dei tentativi di impersonificazione.
• Ricerca & Monitoraggio:
  • Monitorare i log ULS di SharePoint e i Security Event Log di Windows per pattern anomali di autenticazione, come accessi ripetuti da intervalli IP sconosciuti o stringhe user-agent sospette.
  • Analizzare il traffico di rete per eventuali redirect imprevisti provenienti dal server SharePoint.
  • Creare alert su tentativi di autenticazione che aggirano i flussi di lavoro previsti o che provengono da località geografiche insolite.
• Risposta agli incidenti:
  • Se si sospetta una compromissione, limitare immediatamente l’accesso al server SharePoint interessato e avviare un reset delle credenziali per tutti gli account utente che potrebbero essere stati oggetto di impersonificazione.
  • Conservare i log e le istantanee del server per l’analisi forense al fine di determinare l’estensione dell’incidente.
• Difesa in profondità:
  • Garantire che i server SharePoint siano segmentati da altre parti critiche della rete per impedire movimenti laterali.
  • Eseguire regolarmente formazione per la sensibilizzazione degli utenti affinché riconoscano e segnalino potenziali attacchi di phishing e di ingegneria sociale che potrebbero essere lanciati sfruttando questa vulnerabilità.