CVE-2024-21413 | PoC de la vulnerabilidad de ejecución remota de código en Microsoft Outlook

📜 Descripción

Este script presenta una prueba de concepto (PoC) para CVE-2024-21413, una vulnerabilidad de seguridad significativa descubierta en Microsoft Outlook con un CVSS de 9.8. Denominada como el fallo #MonikerLink, esta vulnerabilidad tiene implicaciones de gran alcance, incluida la posible fuga de información NTLM local y la posibilidad de ejecución remota de código. Además, destaca un vector de ataque que podría evadir la Vista Protegida de Office, extendiendo así su amenaza a otras aplicaciones de Office.

🚀 Uso

Utilice esta herramienta de forma responsable y asegúrese de tener autorización del propietario del sistema objetivo. Este script requiere autenticación SMTP para enviar un correo electrónico, omitiendo las comprobaciones SPF, DKIM y DMARC, lo que ayuda a simular un escenario de ataque del mundo real de manera más efectiva.

python CVE-2024-21413.py --server "<SMTP server>" --port <SMTP port> --username "<SMTP username>" --password "<SMTP password>" --sender "<sender email>" --recipient "<recipient email>" --url "<link URL>" --subject "<email subject>"

Parámetros:

• --server: Nombre de host o IP del servidor SMTP.
• --port: Puerto del servidor SMTP.
• --username: Nombre de usuario del servidor SMTP para la autenticación.
• --password: Contraseña del servidor SMTP para la autenticación.
• --sender: Dirección de correo electrónico del remitente.
• --recipient: Dirección de correo electrónico del destinatario.
• --url: Ruta maliciosa para incluir en el correo electrónico.
• --subject: Asunto del correo electrónico.

Envío inicial

Visualización en Outlook (sin advertencias, sin Vista Protegida)

Captura de Wireshark incluyendo credenciales NTLM (también puede ejecutar impacket, alternativamente)

🧐 ¿Por qué la autenticación SMTP?

La autenticación SMTP es crucial para esta demostración para garantizar que el correo enviado omita las comprobaciones comunes de validación de correo, como SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) y DMARC (Domain-based Message Authentication, Reporting, and Conformance). Estas medidas de seguridad están diseñadas para detectar y prevenir la suplantación de correo electrónico, donde los atacantes envían correos desde una dirección falsificada. Al utilizar SMTP autenticado, la demostración imita de cerca cómo un atacante sofisticado podría eludir estas protecciones, haciendo que el entorno de prueba sea más realista y resaltando la importancia de prácticas integrales de seguridad del correo electrónico.

Demostraciones

Fuga de NTLM de 0 clics

Ejecución remota de código (RCE) de 1 clic

📆 Registro de cambios

[19 de febrero de 2024] - Añadida fuga de NTLM de 0 clics

• Confirmada y gestionada la fuga de NTLM de 0 clics (¡gracias a JT!)
• Aún no publicado

[18 de febrero de 2024] - Añadida RCE de 1 clic

• Gestionada y confirmada la ejecución remota de código (RCE) de Microsoft Outlook
• Aún no publicado

[16 de febrero de 2024] - Lanzamiento inicial

• Lanzamiento inicial que muestra el exploit para CVE-2024-21413.

Créditos

• Checkpoint ha realizado toda la increíble investigación.
• Aviso de seguridad de Microsoft

📌 Autor

Alexander Hagenah

• Sitio web
• Twitter
• LinkedIn

⚠️ Descargo de responsabilidad

Esta herramienta está destinada únicamente a fines educativos y de pruebas éticas. El escaneo, las pruebas o la explotación no autorizados de sistemas son ilegales y poco éticos. Asegúrese de tener permiso explícito y autorizado para realizar cualquier actividad de prueba o explotación contra sistemas objetivo.