CVE-2017-8570

ما هذا؟

يحتوي هذا المستودع على استغلال لإثبات المفهوم لثغرة CVE-2017-8570، والمعروفة أيضًا بثغرة "Composite Moniker". يوضح ذلك استخدام خدعة Packager.dll لإسقاط ملف sct في دليل %TEMP%، ثم تنفيذه باستخدام الآلية التي توفرها الثغرة.

لماذا؟

لعدة أسباب.

1. أردت معرفة ما إذا كان من الممكن استخدام خدعة إسقاط الملفات عبر Packager.dll لاستغلال هذه الثغرة.
2. على حد علمي، فإن جميع الاستغلالات العامة الأخرى لـ CVE-2017-8570 تستغل في الواقع متغير "Script Moniker" من CVE-2017-0199 وليست استغلالات composite moniker فعلية.
3. رفع الوعي حول تقنيات الاستغلال المستخدمة في البرية، ومساعدة المدافعين على كشف محاولات الاستغلال.

كيفية التشغيل

ما عليك سوى تشغيل السكربت مع توفير ملف Sct لتنفيذه واسم مخرج لملف RTF الخاص بك:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

الكشف

لقد أدرجت قاعدة Yara لكشف محاولات استغلال هذه الثغرة عبر RTF.

المراجع

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570