CVE-2017-8570

Was?

Dieses Repository enthält einen Proof-of-Concept-Exploit für CVE-2017-8570, auch bekannt als die „Composite Moniker"-Schwachstelle. Es demonstriert, wie der Packager.dll-Trick verwendet wird, um eine SCT-Datei in das Verzeichnis %TEMP% zu legen und sie anschließend mit der von der Schwachstelle bereitgestellten Primitive auszuführen.

Warum?

Aus ein paar Gründen.

1. Ich wollte sehen, ob es möglich ist, den Packager.dll-Datei-Ablege-Trick zu verwenden, um diese Schwachstelle auszunutzen.
2. Soweit ich weiß, nutzen alle anderen öffentlichen Exploits für CVE-2017-8570 tatsächlich die „Script Moniker"-Variante von CVE-2017-0199 aus und sind keine echten Composite-Moniker-Exploits.
3. Das Bewusstsein für in freier Wildbahn verwendete Ausnutzungstechniken schärfen und Verteidigern helfen, Ausnutzungsversuche zu erkennen.

So wird es ausgeführt

Führen Sie einfach das Skript aus und geben Sie eine auszuführende SCT-Datei sowie einen Ausgabename für Ihre RTF-Datei an:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Erkennung

Ich habe eine Yara-Regel beigefügt, um Versuche zu erkennen, diese Schwachstelle über RTF auszunutzen.

Referenzen

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570