CVE-2017-8570

Fuente: https://www.exploit-db.com/exploits/44263/

Uso: python packager_composite_moniker.py -s calc.sct -o example.rtf

¿Qué?

Este repositorio contiene un exploit de prueba de concepto para CVE-2017-8570, también conocida como la vulnerabilidad "Composite Moniker". Esto demuestra el uso del truco de colocación de archivos de Packager.dll para dejar un archivo sct en el directorio %TEMP% y, a continuación, ejecutarlo usando la primitiva que proporciona la vulnerabilidad.

¿Por qué?

Unas pocas razones.

1. Quería ver si era posible usar el truco de colocación de archivos de Packager.dll para explotar esta vulnerabilidad.
2. Por lo que sé, todos los demás exploits públicos para CVE-2017-8570 explotan en realidad la variante "Script Moniker" de CVE-2017-0199 y no son exploits de composite moniker reales.
3. Concienciar sobre las técnicas de explotación utilizadas en entornos reales y ayudar a los defensores a detectar intentos de explotación.

Cómo ejecutarlo

Simplemente ejecuta el script, proporcionando un archivo Sct para ejecutar y un nombre de salida para tu archivo RTF:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Detección

He incluido una regla de Yara para detectar intentos de explotar esta vulnerabilidad mediante RTF.

Referencias

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570