إصلاح CVE-2017-0199

قم بإزالة قدرة CVE-2017-0199 على تنفيذ التعليمات البرمجية عن طريق تغيير المعالج الافتراضي لملفات .hta. يتم تخزين المعالج الافتراضي للملفات التي يتم استدعاؤها عبر OLE2 (كائنات COM) بشكل منفصل عن التطبيق الافتراضي للنظام المحلي ولا يمكن تغييره إلا من خلال السجل.

منطق الاستغلال الأساسي

هذا مثال عملي واحد لهذا الاستغلال، وقد تم شرحه وفقًا لفهمي له. قد لا تتبع جميع الحالات هذا النمط وقد يكون تقييمي غير صحيح. ومع ذلك، فإن الإصلاح المقدم في القسم التالي يعمل في الحالات التي اختبرته فيها.

1. مستند RTF مستضاف على خادم ويب يتم إلحاق حمولة تطبيق نص تشعبي خبيث (HTA) في نهايته.
2. يستجيب الخادم المستضيف لطلبات GET الخاصة بالملف بترويسة تفيد بأن المحتوى هو ملف HTA.
3. يقوم Microsoft Word بتشغيل كائن OLE2 لجلب مستند RTF من خادم الويب.
4. يُجبر Microsoft Word على التحقق من نوع الملف لأن الامتداد .rtf لا يطابق نوع محتوى HTA.
5. يفحص Microsoft Word من نهاية الملف بحثًا عن هياكل بيانات يمكن التعرف عليها ويطابق هياكل بيانات HTA مع نوع محتوى HTA.
6. يقوم Microsoft Word تلقائيًا بتصحيح نوع الملف ويمرره إلى معالج COM لملفات HTA (mshta.exe).
7. يقوم Mshta.exe بتشغيل كود تطبيق النص التشعبي الخبيث من نهاية الملف.

يتم تخزين معالجات COM بشكل منفصل عن معالجات النظام في السجل لمنع حدوث أخطاء في عملية التحقق من نوع الملف.

الإصلاح الأساسي

1. في RegEdit.exe انتقل إلى HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3050f4d8-98B5-11CF-BB82-00AA00BDCE0B}\DefaultIcon
2. افتح الأذونات المتقدمة لـ DefaultIcon
3. قم بتغيير المالك إلى Administrators (المجموعة)
4. أضف حساب المستخدم الحالي إلى قائمة الكيانات الأمنية، وعيّن له صلاحية "التحكم الكامل"
5. قم بتحرير المفتاح (Default) ليكون C:\Windows\System32\notepad.exe,1