abbarhissarh/follinaxploitEin auf der Befehlszeile basierendes Python-Tool zum Ausnutzen einer Zero-Day-Sicherheitslücke in MSDT (Microsoft Support Diagnostic Tool), auch bekannt als 'Follina' CVE-2022-30190.
Ein Python-Tool auf Kommandozeilenbasis zur Ausnutzung der Zero-Day-Sicherheitslücke in MSDT (Microsoft Support Diagnostic Tool), auch bekannt als 'Follina' (CVE-2022-30190).
Info: Neue Microsoft Office Zero-Day wird in Angriffen zur Ausführung von PowerShell verwendet
Erstellt mit Python(3.10.4)
Neuhttps://github.com/0xAbbarhSF/FollinaXploit
Für Linux
pip3 install pyfiglet
Einzeiliger Befehl
git clone https://github.com/0xAbbarhSF/FollinaXploit && pip3 install pyfiglet && cd FollinaXploit
python3 "follinaExploiter.py"
Für Windows
pip install pyfiglet
python "follinaExploiter.py"
Die Sicherheitslücke wird ausgenutzt, indem das MSProtocol-URI-Schema verwendet wird, um Code zu laden. Angreifer können bösartige Links in Microsoft Office-Dokumenten, Vorlagen oder E-Mails einbetten, die mit ms-msdt: beginnen. Diese werden anschließend ohne Benutzerinteraktion geladen und ausgeführt – es sei denn, der geschützte Ansichtsmodus ist aktiviert. Das Konvertieren des Dokuments in das RTF-Format kann jedoch auch die geschützte Ansicht umgehen.
MS Office-DOCX-Dateien können externe OLE-Objektverweise als HTML-Dateien enthalten. Es gibt ein HTML-Schema "ms-msdt:", das das MSDT-Diagnosetool aufruft, das in der Lage ist, beliebigen Code (in Parametern angegeben) auszuführen.
Wenn Sie diese Elemente auch unter dem <o:OLEObject>-Element in word/document.xml hinzufügen
<o:LinkType>EnhancedMetaFile</o:LinkType>
<o:LockedField>false</o:LockedField>
<o:FieldCodes>\f 0</o:FieldCodes>
dann funktioniert es auch als RTF (öffnen Sie das resultierende DOCX und speichern Sie es als RTF).
Bei RTF ist es nicht nötig, die Datei in Word zu öffnen, es reicht aus, zur Datei zu navigieren und sie im Vorschaufenster zu betrachten. Das Vorschaufenster löst die externe HTML-Nutzlast aus und RCE erfolgt ohne einen Klick.