CVE-2017-8570

ما هذا؟

يحتوي هذا المستودع على استغلال إثبات المفهوم لثغرة CVE-2017-8570، والمعروفة أيضًا بثغرة "Composite Moniker". يوضح هذا استخدام خدعة Packager.dll لإسقاط ملف sct في دليل %TEMP%، ثم تنفيذه باستخدام البدائية التي توفرها الثغرة.

لماذا؟

لعدة أسباب.

1. أردت معرفة ما إذا كان من الممكن استخدام خدعة إسقاط الملفات عبر Packager.dll لاستغلال هذه الثغرة.
2. على حد علمي، جميع الاستغلالات العامة الأخرى لثغرة CVE-2017-8570 تستغل في الواقع متغير "Script Moniker" من ثغرة CVE-2017-0199 وليست في حقيقة الأمر استغلالات composite moniker.
3. رفع الوعي حول تقنيات الاستغلال المستخدمة في البرية، ومساعدة المدافعين على اكتشاف محاولات الاستغلال.

كيفية التشغيل

ما عليك سوى تشغيل البرنامج النصي، مع توفير ملف Sct للتنفيذ، واسم إخراج لملف RTF الخاص بك:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

الاكتشاف

لقد أدرجت قاعدة Yara لاكتشاف محاولات استغلال هذه الثغرة عبر RTF.

المراجع

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570