CVE-2023-23397 Proof-of-Concept

Dies ist ein Proof-of-Concept-Exploit (PoC) für CVE-2023-23397, eine Schwachstelle im Windows-Microsoft-Outlook-Client.

Voraussetzungen

• Python 3
• pywin32-Paket

Verwendung

Windows

1. Installieren Sie das erforderliche pywin32-Paket, indem Sie pip install pywin32 ausführen.
2. Führen Sie das Skript mit dem folgenden Befehl aus: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Kali Linux

1. Installieren Sie das erforderliche pywin32-Paket, indem Sie pip install pywin32 ausführen.
2. Starten Sie einen SMB-Server auf dem Angreifer-Rechner, z. B. das SMB-Modul von Metasploit.
3. Führen Sie das Skript mit dem folgenden Befehl aus: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Optionen

• <save_or_send>: Wählen Sie zwischen „save" und „send". „save" speichert die bösartige E-Mail als Datei, während „send" die E-Mail direkt an das Ziel sendet.
• <target_email>: Die E-Mail-Adresse des Zielbenutzers.
• <attacker_ip>: Die IP-Adresse des SMB-Servers des Angreifers.

CVE-2023-23397 Überblick auf hoher Ebene

Dies ist ein Überblick auf hoher Ebene über CVE-2023-23397, eine Schwachstelle im Windows-Microsoft-Outlook-Client.

Beschreibung

CVE-2023-23397 ist eine Schwachstelle, die es einem Angreifer ermöglicht, eine bösartige E-Mail zu erstellen, die bei der Verarbeitung durch den Outlook-Client automatisch die Net-NTLMv2-Hashes des Zielbenutzers preisgibt. Für die Auslösung des Exploits ist keine Benutzerinteraktion erforderlich. Die preisgegebenen Hashes können für Relay-Angriffe verwendet oder zum Knacken der zugrunde liegenden Anmeldeinformationen genutzt werden.

Die Schwachstelle besteht aufgrund der Art und Weise, wie Outlook die Eigenschaft PidLidReminderFileParameter in E-Mail-Nachrichten verarbeitet. Diese Eigenschaft ermöglicht es dem Absender der Nachricht, einen benutzerdefinierten Benachrichtigungston für Elemente wie Besprechungsbenachrichtigungen festzulegen. Indem der Angreifer eine Nachricht mit einer benutzerdefinierten PidLidReminderFileParameter-Eigenschaft erstellt, die einen UNC-Pfad (Universal Naming Convention) enthält, der auf einen vom Angreifer kontrollierten SMB-Server verweist, kann er bewirken, dass der Outlook-Client des Ziels die Net-NTLMv2-Hashes preisgibt, wenn er sich mit dem SMB-Server verbindet.

Angriffsschritte

1. Der Angreifer erstellt eine bösartige E-Mail mit einer benutzerdefinierten PidLidReminderFileParameter-Eigenschaft, die einen UNC-Pfad enthält, der auf seinen SMB-Server verweist.
2. Der Zielbenutzer empfängt die E-Mail in seinem Outlook-Client.
3. Outlook verarbeitet die E-Mail und versucht, die in der PidLidReminderFileParameter-Eigenschaft angegebene benutzerdefinierte Benachrichtigungstondatei abzurufen.
4. Wenn Outlook eine Verbindung zum vom Angreifer kontrollierten SMB-Server herstellt, gibt es die Net-NTLMv2-Hashes des Zielbenutzers preis.
5. Der Angreifer kann die preisgegebenen Hashes dann für Relay-Angriffe auf andere Systeme verwenden, die NTLMv2 unterstützen, oder versuchen, die Hashes zu knacken, um die zugrunde liegenden Klartext-Anmeldeinformationen zu erhalten.

Verwendung des Exploits

Das bereitgestellte Proof-of-Concept-Exploit-Skript (PoC) erzeugt eine bösartige E-Mail mit der benutzerdefinierten PidLidReminderFileParameter-Eigenschaft und speichert sie entweder als Datei oder sendet sie direkt an die Ziel-E-Mail-Adresse. Der Angreifer muss einen SMB-Server einrichten, um die preisgegebenen Net-NTLMv2-Hashes zu erfassen.

Hinweis

Dieser Überblick auf hoher Ebene dient ausschließlich Bildungszwecken. Das Verständnis der Schwachstelle und ihrer Auswirkungen kann dazu beitragen, Sicherheitspraktiken zu verbessern und wirksame Abwehrmaßnahmen gegen ähnliche Angriffe zu entwickeln.