CVE-2017-8570

المصدر: https://www.exploit-db.com/exploits/44263/

طريقة الاستخدام: python packager_composite_moniker.py -s calc.sct -o example.rtf

ما هذا؟

يحتوي هذا المستودع على استغلال إثبات مفهوم لثغرة CVE-2017-8570، المعروفة أيضًا باسم "Composite Moniker". يوضح هذا استخدام خدعة Packager.dll لإسقاط ملف sct في مجلد %TEMP%، ثم تنفيذه باستخدام الأولية التي توفرها الثغرة.

لماذا؟

عدة أسباب.

1. أردت أن أرى ما إذا كان من الممكن استخدام خدعة إسقاط ملفات Packager.dll لاستغلال هذه الثغرة.
2. على حد علمي، فإن جميع الاستغلالات العامة الأخرى لـ CVE-2017-8570 تستغل في الواقع متغير "Script Moniker" من CVE-2017-0199 وليست في الحقيقة استغلالات لـ Composite Moniker.
3. زيادة الوعي بتقنيات الاستغلال المستخدمة في البرية، ومساعدة المدافعين على اكتشاف محاولات الاستغلال.

كيفية التشغيل

قم ببساطة بتشغيل السكربت، مع توفير ملف Sct للتنفيذ، واسم مخرج لملف RTF الخاص بك:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

الاكتشاف

لقد قمت بتضمين قاعدة Yara لاكتشاف محاولات استغلال هذه الثغرة عبر RTF.

المراجع

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570