CVE-2024-21413 | Microsoft Outlook PoC für die Remote-Codeausführung-Schwachstelle

📜 Beschreibung

Dieses Skript stellt einen Proof of Concept (PoC) für CVE-2024-21413 dar, eine bedeutende Sicherheitsschwachstelle in Microsoft Outlook mit einem CVSS-Wert von 9.8. Diese als #MonikerLink-Bug bezeichnete Schwachstelle hat weitreichende Auswirkungen, einschließlich der möglichen Offenlegung lokaler NTLM-Informationen und der Möglichkeit zur Remote-Codeausführung. Darüber hinaus zeigt sie einen Angriffsvektor auf, der Office Protected View umgehen kann, wodurch sich die Bedrohung auf andere Office-Anwendungen ausweitet.

🚀 Verwendung

Verwenden Sie dieses Tool verantwortungsbewusst und stellen Sie sicher, dass Sie die Genehmigung des Eigentümers des Zielsystems haben. Dieses Skript erfordert eine SMTP-Authentifizierung zum Senden einer E-Mail, wodurch SPF-, DKIM- und DMARC-Prüfungen umgangen werden, was hilft, ein realistisches Angriffsszenario effektiver zu simulieren.

python CVE-2024-21413.py --server "<SMTP server>" --port <SMTP port> --username "<SMTP username>" --password "<SMTP password>" --sender "<sender email>" --recipient "<recipient email>" --url "<link URL>" --subject "<email subject>"

Parameter:

• --server: Hostname oder IP-Adresse des SMTP-Servers.
• --port: Port des SMTP-Servers.
• --username: SMTP-Benutzername für die Authentifizierung.
• --password: SMTP-Passwort für die Authentifizierung.
• --sender: E-Mail-Adresse des Absenders.
• --recipient: E-Mail-Adresse des Empfängers.
• --url: Bösartiger Pfad, der in die E-Mail aufgenommen werden soll.
• --subject: E-Mail-Betreff.

Initiales Senden

Anzeige in Outlook (keine Warnungen, keine geschützte Ansicht)

Wireshark-Mitschnitt einschließlich NTLM-Anmeldedaten (Sie können alternativ auch impacket ausführen)

🧐 Warum SMTP-Authentifizierung?

Die SMTP-Authentifizierung ist für diese Demonstration entscheidend, um sicherzustellen, dass die gesendete E-Mail gängige E-Mail-Validierungsprüfungen wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting, and Conformance) umgeht. Diese Sicherheitsmaßnahmen dienen dazu, E-Mail-Spoofing zu erkennen und zu verhindern, bei dem Angreifer E-Mails von einer gefälschten Adresse senden. Durch die Verwendung authentifizierter SMTP imitiert die Demonstration genau, wie ein ausgeklügelter Angreifer diese Schutzmaßnahmen umgehen könnte, was die Testumgebung realistischer macht und die Bedeutung umfassender E-Mail-Sicherheitspraktiken hervorhebt.

Demos

0-Click-NTLM-Leak

1-Click Remote Code Execution (RCE)

📆 Änderungsprotokoll

[19. Februar 2024] - 0-Click-NTLM-Leak hinzugefügt

• 0-Click-NTLM-Leak bestätigt und durchgeführt (Dank an JT!)
• Noch nicht veröffentlicht

[18. Februar 2024] - 1-Click RCE hinzugefügt

• Microsoft Outlook Remote Code Execution (RCE) durchgeführt und bestätigt
• Noch nicht veröffentlicht

[16. Februar 2024] - Erstveröffentlichung

• Erstveröffentlichung, die den Exploit für CVE-2024-21413 vorstellt.

Danksagungen

• Checkpoint hat die gesamte hervorragende Forschung durchgeführt.
• Microsoft Security Advisory

📌 Autor

Alexander Hagenah

• Webseite
• Twitter
• LinkedIn

⚠️ Haftungsausschluss

Dieses Tool ist ausschließlich für Bildungs- und ethische Testzwecke gedacht. Nicht autorisiertes Scannen, Testen oder Ausnutzen von Systemen ist illegal und unethisch. Stellen Sie sicher, dass Sie eine ausdrückliche, autorisierte Genehmigung haben, um Test- oder Exploit-Aktivitäten gegen Zielsysteme durchzuführen.