CVE-2025-64672: XSS-fejl i SharePoint Server

Sårbarheden CVE-2025-64672 er en fejl af typen cross-site scripting (XSS), hvor en angriber kan indsætte skadelig kode, der bliver udført i en anden brugers browser, uden at den anden bruger selv har gjort noget forkert. Fejlen sidder i Microsoft SharePoint Server og gør det muligt for en bruger med almindelige, lave rettigheder at indsætte kode, som senere udføres i browseren hos en anden bruger, for eksempel en administrator, der besøger den samme side eller det samme dokument. På den måde kan angriberen udgive sig for at være den anden bruger, hvilket Microsoft kalder spoofing. Fejlen skyldes, at SharePoint ikke renser brugerens input tilstrækkeligt, før det vises på en webside.

Sårbarheden rammer Microsoft SharePoint Server i alle versioner før 16.0.19127.20378. Det er den lokalt installerede, on-premises udgave af SharePoint, som mange danske virksomheder og kommuner selv drifter til dokumenthåndtering og intranet. SharePoint Online, som er den del af Microsoft 365, er ikke ramt af denne sårbarhed. Alle organisationer med egen SharePoint-server bør kontrollere deres versionsnummer.

En medarbejder eller anden bruger med almindelig, lav adgang til SharePoint kan indsætte skadelig kode i for eksempel en liste, et dokument eller en kommentar. Når en anden bruger, typisk en administrator eller en kollega med højere rettigheder, åbner det samme indhold, køres koden i deres browser. Det kan give angriberen adgang til deres session og dermed mulighed for at udføre handlinger, som om det var den ramte bruger, herunder at læse eller ændre dokumenter, oprette nye brugere eller udvide egne rettigheder. I værste fald kan det føre til, at en almindelig medarbejderkonto ender med at kunne overtage administratorrettigheder i hele SharePoint-miljøet.

CVSS-scoren er 8,8 ud af 10, hvilket er alvorligt. Angrebet kræver, at angriberen allerede har en lav-privilegeret, autentificeret konto på SharePoint-serveren, men kræver ikke, at offeret selv klikker på noget usædvanligt, det sker ved almindelig visning af indhold. Alle tre konsekvenser, fortrolighed, integritet og tilgængelighed, er vurderet som høje, fordi et succesfuldt angreb kan give kontrol over andre brugeres data og handlinger. Der er ved offentliggørelsen ikke rapporteret om, at sårbarheden bliver udnyttet i praksis.

Sådan lukker I hullet og begrænser risikoen, mens opdateringen rulles ud.

1. Opdatér SharePoint Server til version 16.0.19127.20378 eller nyere, det lukker selve fejlen.
2. Kontrollér jeres versionsnummer i Centraladministration eller via PowerShell, hvis I er i tvivl om, om I er ramt.
3. Begræns antallet af brugere med mulighed for at redigere lister, dokumenter og kommentarer, indtil opdateringen er installeret.
4. Gennemgå logfiler for usædvanlig aktivitet fra almindelige brugerkonti mod indhold, som administratorer typisk besøger.
5. Informér ansvarlige for SharePoint-driften om, at opdateringen skal med i næste vedligeholdelsesvindue, hvis den ikke allerede er testet.
6. Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv har ressourcer til at teste og udrulle opdateringen inden for kort tid.