CVE-2018-0802

• CVE-2018-08022: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0802

• MITRE CVE-2018-0802: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0802

• فيديو استغلال وتصحيح 0patch: https://www.youtube.com/watch?v=XU-U4K270Z4

• منشور مدونة Qihoo 360 http://www.freebuf.com/vuls/159789.html

• مدونة Checkpoint (تجاوز ASLR بالقوة الغاشمة) https://research.checkpoint.com/another-office-equation-rce-vulnerability

packager_exec CVE-2018-0802

يحتوي هذا المستودع على استغلال إثبات المفهوم (PoC) لـ CVE-2018-0802. للتغلب على الحد الأقصى لطول الأمر المسموح به، يستخدم الاستغلال كائن Packager OLE لإسقاط حمولة مضمنة في مجلد %TMP%، ثم ينفذ الملف باستخدام أمر قصير عبر استدعاء WinExec، مثل: cmd.exe /c%TMP%\file.exe.

الاستخدام

packager_exec_CVE-2018-0802.py -e executable_path -o output_file_name

أضف الخيار -d لاستغلال كل من CVE-2017-11882 و CVE-2018-0802 في نفس المستند.

الكشف

لقد أضفت قاعدة Yara للكشف عن هذا النوع المحدد من الاستغلال كما هو مستخدم في البرية (itw). يرجى ملاحظة أنه يمكن تجاوز هذا بسهولة وقد يحتاج إلى تعديل. سعيد بقبول الـ PR's للأفضل ;)

تحيات

يعتمد هذا الاستغلال بشكل كبير على العمل السابق الذي قامت به Embedi على CVE-2017-11882. لا أدعي أي فضل في العمل الرائع الذي حققه أولئك المذكورون هنا.

كما نوجه الشكر للعديد من المكتشفين:

• bee13oy من فريق Qihoo 360 Vulcan
• zhouat من فريق Qihoo 360 Vulcan
• Liang Yin من Tencent PC Manager
• Luka Treiber من فريق 0patch - ACROS Security
• Netanel Ben Simon و Omer Gull من Check Point Software Technologies
• Yang Kang و Ding Maoyin و Song Shenlei من Qihoo 360 Core Security (@360CoreSec)
• Yuki Chen من فريق Qihoo 360 Vulcan
• Zhiyuan Zheng

مثال استغلال لـ CVE-2018-0802 (تشغيل calc.exe كحمولة)

يحتوي مجلد example على ملف .rtf يستغل ثغرة CVE-2018-0802 ويشغل الآلة الحاسبة في النظام.