Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
cve-2026-21509-office_security_bypass_reproduction — CVE-Reproduktion: cve-2026-21509-office_security_bypass_reproduction | Kitploit
Tools/GitHubGitHub/razureink/cve-2026-21509-office_security_bypass_reproduction
Payload-GenerierungSchwachstellenanalyseExploitationWebanwendungs-ExploitationPenetrationstestsLernen & BildungBinary-ExploitationLabs & Praxis
GitHub
razureink/cve-2026-21509-office_security_bypass_reproduction

cve-2026-21509-office_security_bypass_reproduction

CVE-Reproduktion: cve-2026-21509-office_security_bypass_reproduction

Repository anzeigen
1vor 1 MonatNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

CVE-2026-21509 — Microsoft Office Umgehung von Sicherheitsfunktionen

  • CVE-2026-21509 ist eine Schwachstelle zur Umgehung von Sicherheitsfunktionen in Microsoft Office
  • CVSS 7.8, aktiv von APT28 (russische Hacker) gegen die Ukraine ausgenutzt
  • Vertrauen auf nicht vertrauenswürdige Eingaben bei Sicherheitsentscheidungen (CWE-807) – „Kill-Bit umgehen"
  • Ermöglicht die Umgehung von Protected View und OLE-Mitigationen durch bösartige Dokumente
  • Betrifft Office 2016, 2019, 2021, 2024, Microsoft 365 Apps
  • Notfall-Out-of-Band-Patch im Januar 2026 veröffentlicht

Überblick

CVE-2026-21509 ist eine Schwachstelle zur Umgehung von Sicherheitsfunktionen in Microsoft Office, die es einem Angreifer ermöglicht, Protected View und OLE-Mitigationen (Object Linking and Embedding) zu umgehen. Der Fehler liegt darin, wie Office das Kill-Bit validiert — einen Registrierungsmechanismus, der gefährliche CLSIDs blockieren soll. Durch die Bereitstellung eines manipulierten OLE-Objekts mit einer geänderten CLSID oder durch Manipulation des Aktivierungskontexts kann ein Angreifer Office dazu bringen, einem eingebetteten Steuerelement zu vertrauen, das hätte blockiert werden sollen.

Technische Details

Grundursache: CWE-807 – Vertrauen auf nicht vertrauenswürdige Eingaben bei einer Sicherheitsentscheidung. Die Kill-Bit-Prüfung für COM/OLE-Objekte verwendet Daten, die ein Angreifer über dokumentebene Überschreibungen beeinflussen kann. Insbesondere kann die IDataObject- oder IOleObject-Implementierung in bestimmten Office-Dokumenten die Kill-Bit-Abfrage auf einen vom Angreifer kontrollierten Registrierungspfad umleiten oder eine GUID liefern, die die Blockliste vollständig umgeht.

Angriffsvektor:

  1. Eine manipulierte RTF- oder DOCX-Datei bettet ein bösartiges OLE-Objekt ein (z. B. ein COM-Steuerelement zur Shell-Ausführung).
  2. Beim Öffnen fragt Office das Kill-Bit in der Registrierung ab, bevor es das OLE- Objekt aktiviert.
  3. Das Dokument liefert eine gefälschte CLSID oder untergräbt die Abfrage über einen OLE- Verb-/Datenpfadeintrag, der auf einen nicht standardmäßigen Registrierungsspeicherort verweist.
  4. Das Kill-Bit wird am erwarteten Pfad nicht gefunden, daher startet Office das Steuerelement ohne Einschränkung.
  5. Das Steuerelement führt vom Angreifer bereitgestellten Code aus (z. B. MSHTA, PowerShell oder eine Skript-Engine).

Betroffene Versionen

ProductVersion / Build
Office 2016Alle Versionen vor KB5002711
Office 2019Alle Versionen vor KB5002712
Office 2021Alle Versionen vor KB5002713
Office 2024Alle Versionen vor KB5002714
Microsoft 365 AppsBuild vor 2501 (Januar 2026)

Reproduktionsschritte

  1. Installieren Sie eine betroffene Version von Microsoft Office (siehe Tabelle oben) in einer Windows 10/11 x64-Testumgebung.
  2. Erzeugen Sie ein bösartiges Dokument mit dem bereitgestellten exploit.py:
    root@kitploit:~
    python exploit.py --output malicious.doc --payload "calc.exe"
  3. Öffnen Sie die erzeugte Datei in Office. Protected View sollte umgangen werden und der Payload wird ausgeführt.
  4. Nachdem der Patch angewendet wurde, sollte dieselbe Datei blockiert werden – was den Fix bestätigt.

Proof of Concept

Das Skript exploit.py in diesem Repository erzeugt eine manipulierte RTF/DOC-Datei, die:

  • Ein OLE-Objekt einbettet, dessen CLSID auf {0002DF01-0000-0000-C000-000000000046} gesetzt ist (DHTML-Edit-Steuerelement – ein häufig als Waffe eingesetztes Steuerelement).
  • Die \objdata- und \object-Gruppen im RTF manipuliert, um die Kill-Bit-Abfrage während der Aktivierung zu umgehen.
  • Optional einen Skript-Payload (PowerShell oder MSHTA) bündelt, der bei der Aktivierung ausgeführt wird.

⚠ WARNUNG: Dieser PoC wird ausschließlich für autorisierte Sicherheitstests bereitgestellt. Setzen Sie ihn nicht gegen Systeme ein, die Sie nicht besitzen oder für die Sie keine ausdrückliche Testgenehmigung haben.

Gegenmaßnahmen

  • Installieren Sie das Out-of-Band-Update vom Januar 2026 – dies ist der einzige vollständige Fix.
  • Überprüfen und setzen Sie die erweiterte Kill-Bit-Liste aus KB5002711 durch.
  • Aktivieren Sie die Attack Surface Reduction-Regeln (ASR) für die Erzeugung von Office-Unterprozessen.
  • Ziehen Sie in Betracht, Microsoft Defender for Office 365 zu verwenden, um bekannte Exploit- Dokumente zu blockieren.
  • Beschränken Sie die Aktivierung von OLE-Objekten über Gruppenrichtlinien: `Computer Configuration > Administrative Templates > Microsoft Office

    Security Settings > Disable OLE Activation`.

Referenzen

  • CVE-2026-21509 — MITRE
  • CWE-807: Vertrauen auf nicht vertrauenswürdige Eingaben
  • Microsoft Security Response Center — OOB-Release Januar 2026
  • APT28 / Fancy Bear — Aktivitätsübersicht
Tool herunterladen