CVE-2023-23397 Prueba de concepto

Este es un exploit de prueba de concepto (PoC) para CVE-2023-23397, una vulnerabilidad en el cliente de Windows Microsoft Outlook.

Requisitos previos

• Python 3
• paquete pywin32

Cómo usar

Windows

1. Instale el paquete pywin32 requerido ejecutando pip install pywin32.
2. Ejecute el script con el siguiente comando: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Kali Linux

1. Instale el paquete pywin32 requerido ejecutando pip install pywin32.
2. Inicie un servidor SMB en la máquina del atacante, como el módulo SMB de Metasploit.
3. Ejecute el script con el siguiente comando: python Exploit.py <save_or_send> <target_email> <attacker_ip>.

Opciones

• <save_or_send>: Elija entre "save" o "send". "save" guardará el correo malicioso como un archivo, mientras que "send" enviará el correo directamente al objetivo.
• <target_email>: La dirección de correo electrónico del usuario objetivo.
• <attacker_ip>: La dirección IP del servidor SMB del atacante.

CVE-2023-23397 Descripción general de alto nivel

Esta es una descripción general de alto nivel de CVE-2023-23397, una vulnerabilidad en el cliente de Windows Microsoft Outlook.

Descripción

CVE-2023-23397 es una vulnerabilidad que permite a un atacante crear un correo electrónico malicioso que, al ser procesado por el cliente de Outlook, filtra automáticamente los hashes Net-NTLMv2 del usuario objetivo. No se requiere interacción del usuario para desencadenar el exploit. Los hashes filtrados pueden utilizarse para ataques de relay o para descifrar las credenciales subyacentes.

La vulnerabilidad existe debido a la forma en que Outlook maneja la propiedad PidLidReminderFileParameter en los mensajes de correo. Esta propiedad permite al remitente del mensaje establecer un sonido de notificación personalizado para elementos como notificaciones de reuniones. Al crear un mensaje con una propiedad PidLidReminderFileParameter personalizada que contenga una ruta de Convención de nomenclatura universal (UNC) que apunte a un servidor SMB controlado por el atacante, este puede provocar que el cliente de Outlook del objetivo filtre los hashes Net-NTLMv2 cuando se conecta al servidor SMB.

Pasos del ataque

1. El atacante crea un correo electrónico malicioso con una propiedad PidLidReminderFileParameter personalizada que contiene una ruta UNC que apunta a su servidor SMB.
2. El usuario objetivo recibe el correo en su cliente de Outlook.
3. Outlook procesa el correo e intenta obtener el archivo de sonido de notificación personalizado especificado en la propiedad PidLidReminderFileParameter.
4. Cuando Outlook se conecta al servidor SMB controlado por el atacante, filtra los hashes Net-NTLMv2 del usuario objetivo.
5. El atacante puede entonces usar los hashes filtrados para ataques de relay contra otros sistemas que admitan NTLMv2 o intentar descifrar los hashes para obtener las credenciales subyacentes en texto claro.

Uso del exploit

El script de exploit de prueba de concepto (PoC) proporcionado genera un correo electrónico malicioso con la propiedad PidLidReminderFileParameter personalizada y lo guarda como un archivo o lo envía directamente a la dirección de correo del objetivo. El atacante necesita configurar un servidor SMB para capturar los hashes Net-NTLMv2 filtrados.

Nota

Esta descripción general de alto nivel tiene fines exclusivamente educativos. Comprender la vulnerabilidad y su impacto puede ayudar a mejorar las prácticas de seguridad y desarrollar defensas eficaces contra ataques similares.