Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Questa settimana è stato pubblicato un exploit proof-of-concept per il bug CVE-2025-53772, una vulnerabilità critica di esecuzione di codice remoto nello strumento IIS Web Deploy (msdeploy) di Microsoft, che ha sollevato urgenti allarmi nelle community .NET e DevOps.
Il CVE-2025-53772 è una vulnerabilità RCE critica negli endpoint msdeploy.axd e msdeployagentservice di Microsoft Web Deploy, causata dalla deserializzazione non sicura dei dati dell’intestazione HTTP in formato GZip + Base64. Consente a un utente malintenzionato autenticato di eseguire codice da remoto.
Microsoft ha assegnato un punteggio CVSS di 8,8 per il CVE-2025-53772. Le misure di mitigazione immediate includono la disabilitazione del servizio Web Deploy Agent (MsDepSvc), l’applicazione di ACL di rete rigorosi sull’endpoint msdeploy.axd e l’applicazione di filtri in ingresso per bloccare intestazioni MSDeploy.SyncOptions inaspettate.
IIS Web Deploy (msdeploy) è un set di strumenti che impacchetta e trasferisce applicazioni Web, configurazioni IIS e risorse basate su provider in un ambiente di destinazione. Supporta due tipi di meccanismi di accesso: tramite Web Management Service (WMSvc) su endpoint HTTP(S): /msdeploy.axd tramite Web Deploy Agent Service (MsDepSvc):msdeployagentservice
Le funzionalità principali includono: Sincronizzazione e distribuzione tramite provider per file, siti Web, certificati, database, ecc. Flussi di lavoro per la creazione di pacchetti ( GetPackage) e l’applicazione di pacchetti ( Sync) Questa elevata flessibilità, se combinata con progetti di serializzazione che non convalidano rigorosamente gli input, amplia la superficie di attacco.
Per una correzione a lungo termine è necessario sostituire BinaryFormatter con un serializzatore sicuro (ad esempio, DataContractSerializer con contratti di tipo espliciti) e convalidare tutti gli input dell’intestazione prima della deserializzazione.
Con la diffusione degli exploit PoC, le organizzazioni che sfruttano IIS Web Deploy devono dare priorità all’applicazione di patch e al rafforzamento per impedire agli aggressori autenticati di sfruttare questo vettore RCE critico.
