CVE-2017-8570

Quoi ?

Ce dépôt contient une preuve de concept d'exploitation pour CVE-2017-8570, également connue sous le nom de vulnérabilité "Composite Moniker". Cela démontre l'utilisation de l'astuce Packager.dll pour déposer un fichier sct dans le répertoire %TEMP%, puis l'exécuter en utilisant la primitive fournie par la vulnérabilité.

Pourquoi ?

Quelques raisons.

1. Je voulais voir s'il était possible d'utiliser l'astuce de dépose de fichiers Packager.dll pour exploiter cette vulnérabilité.
2. Pour autant que je sache, tous les autres exploits publics pour CVE-2017-8570 exploitent en réalité la variante "Script Moniker" de CVE-2017-0199 et ne sont pas de véritables exploits composite moniker.
3. Sensibiliser aux techniques d'exploitation utilisées dans la nature, et aider les défenseurs à détecter les tentatives d'exploitation.

Comment exécuter

Exécutez simplement le script, en fournissant un fichier Sct à exécuter, et un nom de sortie pour votre fichier RTF :

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Détection

J'ai inclus une règle Yara pour détecter les tentatives d'exploitation de cette vulnérabilité via RTF.

Références

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570