tiagob0b/cve-2021-40444Generador de DOCX malicioso que explota CVE-2021-40444 (RCE de Microsoft Office Word) con carga lateral de DLL basada en CAB y cadenas de ataque RAR/WSF sin CAB para pruebas de penetración.
Generador de docx malicioso para explotar CVE-2021-40444 (ejecución remota de código en Microsoft Office Word), funciona con archivos DLL arbitrarios.
Aunque hay muchos PoC por ahí en internet, decidí probar suerte armando esta vulnerabilidad, ya que lo que encontré disponible carecía de información valiosa que valga la pena compartir, considerando además que Microsoft ya lanzó un parche para esta vulnerabilidad.
Hasta ahora, los únicos recursos valiosos que he visto para crear un generador totalmente funcional son:
Los recursos anteriores describen muchos de los requisitos necesarios para crear una cadena completa. Para evitar repetir demasiada información innecesaria, solo resumiré los detalles relevantes.
Hay bastantes requisitos pasados por alto para que este exploit funcione, lo que hizo que incluso buenos PoCs, como el de lockedbyte, fallaran al ejecutarse correctamente.
Quizás nadie los "publicó" explícitamente para evitar que la vulnerabilidad se explotara más. Pero ahora está parcheada, así que no debería causar muchos problemas revelar los detalles.
Según este tweet de Will Dormann, el HTML debe tener al menos 4096 bytes para activar la "Vista previa" en MS Word.
El archivo CAB debe ser parcheado a nivel de bytes para evitar errores de extracción y lograr el ZipSlip:
filename.inf debe convertirse en ../filename.inffilename.inf coffCabStartCFFOLDER.typeCompress CFFOLDER.coffCabStart debe incrementarse en 3 (debido al '../' añadido)CFFOLDER.cCfData CFFILE.cbFile debe ser mayor que el CFHEADER.cbCabinet completoCFDATA.csum Las razones de estas restricciones son muchas, y no dediqué suficiente tiempo a entenderlas todas en profundidad, pero veamos las más importantes:
NOTA1: Defender ahora detecta si el archivo CAB contiene un PE utilizando el valor _IMAGE_DOS_HEADER.e_magic como firma, lo que potencialmente evita que los archivos PE se incrusten en el CAB. ¿Se puede omitir esta firma? No estoy seguro, pero como se observó antes, esta es una vulnerabilidad parcheada, así que no planeo invertir mucho más tiempo en esto. Le corresponde al lector curioso desarrollar esto más a fondo.
NOTA2: El parche de Microsoft bloquea esquemas de URI arbitrarios, aparentemente usando un enfoque de lista negra (esto es solo una suposición)
La principal cadena de ataque asociada con CVE-2021-40444 es el ataque DLL cargado a través del esquema de URI .cpl. Para explotarlo, un atacante necesita generar una DLL especialmente elaborada. Si quieres probarlo, prueba mi script evildll-gen.
Como señaló Max Maluin, es posible interactuar con varios tipos de archivo abusando de IE y del URI basado en la extensión de archivo asociada. Si bien esto puede ser una buena forma de explotar IE, tiene limitaciones.
De hecho, cabe señalar que el método utilizado en el exploit para descargar archivos se basa en actualizaciones de controles ActiveX y no puede usarse para descargar archivos arbitrarios. Según la documentación de Microsoft, la etiqueta codebase solo puede apuntar a unos pocos tipos de archivo: OCX, INF y CAB.
Incluso si podemos descargar directamente un archivo OCX o INF, todavía no podemos asegurar que el archivo se descargue en la ubicación correcta dentro del sistema. Con el exploit CAB, es posible mover el archivo .inf a una ruta bien conocida mediante el path traversal, pero en cualquier otro caso el archivo se almacenará en un directorio aleatorio, lo que hace prácticamente imposible referenciarlo.
A día de hoy, no he encontrado una forma de encadenar descarga y ejecución SIN un archivo CAB.
Nota: Hablando solo de IE, el contrabando HTML (HTML smuggling) podría ser un escenario posible para explotar la vulnerabilidad.
Esta técnica fue divulgada por primera vez por Eduardo Braun en Twitter y explicada más a fondo en este documento.
Ten en cuenta que con esta técnica la cadena de ataque es un poco diferente. Este ataque requiere que el usuario descargue un archivo RAR especialmente elaborado, obtenido combinando un script WSF válido y un archivo RAR válido. Una vez abierto, el RAR contendrá un DOCX con una referencia a un HTML, que a su vez intentará cargar el archivo RAR como un script WSF.
Para resumir: