gayashanm/ohtsCVE-2017-8759 | .NET Framework Sicherheitslücke bei der Remotecodeausführung
CVE-2017-8759 | Sicherheitslücke im .NET Framework bei der Remotecodeausführung
Eine Sicherheitslücke bei der Remotecodeausführung besteht, wenn Microsoft .NET Framework nicht vertrauenswürdige Eingaben verarbeitet. Ein Angreifer, der diese Sicherheitslücke in Software, die das .NET Framework verwendet, erfolgreich ausnutzt, könnte die Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren; Daten anzeigen, ändern oder löschen; oder neue Konten mit uneingeschränkten Benutzerrechten erstellen. Benutzer, deren Konten auf dem System mit weniger Benutzerrechten konfiguriert sind, könnten weniger betroffen sein als Benutzer, die mit administrativen Benutzerrechten arbeiten. Um die Sicherheitslücke auszunutzen, müsste ein Angreifer den Benutzer zunächst dazu bringen, ein bösartiges Dokument oder eine bösartige Anwendung zu öffnen. Das Sicherheitsupdate behebt die Sicherheitslücke, indem korrigiert wird, wie .NET nicht vertrauenswürdige Eingaben validiert. Microsoft .NET Framework ermöglicht einem Angreifer, über ein bösartiges Dokument oder eine bösartige Anwendung Code remote auszuführen – Sicherheitslücke bei der Remotecodeausführung im .NET Framework.
Laut Microsoft sind die folgenden Produkte betroffen: • Microsoft .NET Framework 2.0 SP2 • Microsoft .NET Framework 3.5 • Microsoft .NET Framework 3.5.1 • Microsoft .NET Framework 4.5.2 • Microsoft .NET Framework 4.6 • Microsoft .NET Framework 4.6.1 • Microsoft .NET Framework 4.6.2 • Microsoft .NET Framework 4.7
Der Angriff erfolgt auf folgende Weise: • Erstellen Sie eine RTF-Datei, entweder mithilfe eines Python-Skripts oder manuell. • Wenn der Benutzer das Dokument öffnet, sendet winword.exe eine HTTP-Anfrage an einen entfernten Server, um eine bösartige HTA-Datei abzurufen. • Die vom Server zurückgegebene HTA-Datei enthält ein eingebettetes bösartiges Skript. • exe sucht den Dateihandler für application/hta über ein DLL-Objekt nach, wodurch die Microsoft-HTA-Anwendung (mshta.exe) geladen wird und das bösartige Skript ausführt.
Zuerst benötigen wir zwei virtuelle Maschinen. Ich verwende Kali Linux als meine Angriffsumgebung und Windows7 als mein Opfer.
Dann müssen wir eine kleine Recherche zu CVE-2017-8759 durchführen, um eine Vorstellung von der Sicherheitslücke zu bekommen.
• https://github.com/bhdresh/CVE-2017-8759 • https://github.com/nccgroup/CVE-2017-8759 • https://securitytracker.com/id/1039324 • https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8759 • https://www.securityfocus.com/bid/100742 • https://www.exploit-db.com/exploits/42711 • https://www.cvedetails.com/cve/CVE-2017-8759/
Ich habe die obigen Referenzen verwendet, um weitere Details zu dieser Sicherheitslücke bei der Remotecodeausführung im .NET Framework zu erhalten. Wie in Abbildung 4.3 dargestellt, hat diese Sicherheitslücke einen CVSS-Score von 9,3; außerdem gibt es eine vollständige Offenlegung von Informationen, wodurch alle Systemdateien offengelegt werden, eine vollständige Beeinträchtigung der Systemintegrität, ein vollständiger Verlust des Systemschutzes, was zur Kompromittierung des gesamten Systems führt, sowie einen vollständigen Stillstand der betroffenen Ressource. Der Angreifer kann die Ressource vollständig unverfügbar machen. Die Zugriffsbedingungen sind etwas speziell. Es müssen bestimmte Voraussetzungen erfüllt sein, um die Sicherheitslücke auszunutzen. Für die Ausnutzung der Sicherheitslücke ist keine Authentifizierung erforderlich.
