CVE-2017-8570

Quelle: https://www.exploit-db.com/exploits/44263/

Verwendung: python packager_composite_moniker.py -s calc.sct -o example.rtf

Was?

Dieses Repository enthält einen Proof-of-Concept-Exploit für CVE-2017-8570, auch bekannt als die "Composite Moniker"-Sicherheitslücke. Es zeigt, wie der Packager.dll-Trick verwendet wird, um eine sct-Datei in das %TEMP%-Verzeichnis zu legen und sie dann mithilfe des Mechanismus auszuführen, den die Sicherheitslücke bietet.

Warum?

Ein paar Gründe.

1. Ich wollte sehen, ob es möglich ist, den Packager.dll-Datei-Ablege-Trick zu verwenden, um diese Sicherheitslücke auszunutzen.
2. Soweit ich weiß, nutzen alle anderen öffentlichen Exploits für CVE-2017-8570 tatsächlich die "Script Moniker"-Variante von CVE-2017-0199 aus und sind keine echten Composite-Moniker-Exploits.
3. Das Bewusstsein für in freier Wildbahn verwendete Ausnutzungstechniken schärfen und Verteidigern helfen, Ausnutzungsversuche zu erkennen.

So wird es ausgeführt

Führen Sie einfach das Skript aus, und geben Sie eine auszuführende Sct-Datei sowie einen Ausgabenamen für Ihre RTF-Datei an:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Erkennung

Ich habe eine Yara-Regel beigefügt, um Versuche zu erkennen, diese Sicherheitslücke über RTF auszunutzen.

Referenzen

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570