CVE-2024-21413 | PoC de Vulnerabilidad de Ejecución Remota de Código en Microsoft Outlook

📜 Descripción

Este script presenta una prueba de concepto (PoC) para CVE-2024-21413, una vulnerabilidad de seguridad significativa descubierta en Microsoft Outlook con un CVSS de 9.8. Conocida como el bug #MonikerLink, esta vulnerabilidad tiene implicaciones de gran alcance, incluyendo la posible fuga de información NTLM local y la posibilidad de ejecución remota de código. Además, destaca un vector de ataque que podría omitir la Vista Protegida de Office, extendiendo así su amenaza a otras aplicaciones de Office.

🚀 Uso

Utilice esta herramienta de manera responsable y asegúrese de tener autorización del propietario del sistema objetivo. Este script requiere autenticación SMTP para enviar un correo electrónico, omitiendo las comprobaciones SPF, DKIM y DMARC, lo que ayuda a simular un escenario de ataque del mundo real de manera más efectiva.

python CVE-2024-21413.py --server "<SMTP server>" --port <SMTP port> --username "<SMTP username>" --password "<SMTP password>" --sender "<sender email>" --recipient "<recipient email>" --url "<link URL>" --subject "<email subject>"

Parámetros:

• --server: Hostname o IP del servidor SMTP.
• --port: Puerto del servidor SMTP.
• --username: Nombre de usuario del servidor SMTP para la autenticación.
• --password: Contraseña del servidor SMTP para la autenticación.
• --sender: Dirección de correo electrónico del remitente.
• --recipient: Dirección de correo electrónico del destinatario.
• --url: Ruta maliciosa a incluir en el correo electrónico.
• --subject: Asunto del correo electrónico.

Envío inicial

Visualización en Outlook (sin advertencias, sin Vista Protegida)

Captura de Wireshark incluyendo credenciales NTLM (también puede ejecutar impacket, alternativamente)

🧐 ¿Por qué autenticación SMTP?

La autenticación SMTP es crucial para esta demostración para asegurar que el correo electrónico enviado omita comprobaciones comunes de validación de correo como SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) y DMARC (Domain-based Message Authentication, Reporting, and Conformance). Estas medidas de seguridad están diseñadas para detectar y prevenir la suplantación de correo electrónico, donde los atacantes envían correos desde una dirección falsificada. Al usar SMTP autenticado, la demostración imita fielmente cómo un atacante sofisticado podría eludir estas protecciones, haciendo que el entorno de pruebas sea más realista y destacando la importancia de prácticas integrales de seguridad del correo electrónico.

Demos

Fuga de NTLM de 0-click

Ejecución remota de código (RCE) de 1-click

📆 Registro de cambios

[19 de febrero de 2024] - Añadida fuga de NTLM de 0-click

• Confirmada y gestionada la fuga de NTLM de 0-click (¡gracias a JT!)
• Aún no publicado

[18 de febrero de 2024] - Añadida RCE de 1-click

• Gestionada y confirmada la ejecución remota de código (RCE) en Microsoft Outlook
• Aún no publicado

[16 de febrero de 2024] - Lanzamiento inicial

• Lanzamiento inicial que muestra el exploit para CVE-2024-21413.

Créditos

• Checkpoint ha realizado toda la increíble investigación.
• Aviso de seguridad de Microsoft

📌 Autor

Alexander Hagenah

• Sitio web
• Twitter
• LinkedIn

⚠️ Descargo de responsabilidad

Esta herramienta está destinada únicamente a fines educativos y de pruebas éticas. El escaneo, las pruebas o la explotación no autorizados de sistemas son ilegales y poco éticos. Asegúrese de tener permiso explícito y autorizado para realizar cualquier actividad de prueba o explotación contra sistemas objetivo.