CVE-2017-8570

Source : https://www.exploit-db.com/exploits/44263/

Utilisation : python packager_composite_moniker.py -s calc.sct -o example.rtf

Qu'est-ce que c'est ?

Ce dépôt contient une preuve de concept d'exploitation pour CVE-2017-8570, également connue sous le nom de vulnérabilité « Composite Moniker ». Cela démontre l'utilisation de l'astuce Packager.dll pour déposer un fichier sct dans le répertoire %TEMP%, puis l'exécuter à l'aide de la primitive que fournit la vulnérabilité.

Pourquoi ?

Quelques raisons.

1. Je voulais voir s'il était possible d'utiliser l'astuce de dépôt de fichiers via Packager.dll pour exploiter cette vulnérabilité.
2. Autant que je sache, toutes les autres exploitations publiques de CVE-2017-8570 exploitent en réalité la variante « Script Moniker » de CVE-2017-0199 et ne sont pas de véritables exploits de composite moniker.
3. Sensibiliser aux techniques d'exploitation utilisées dans la nature et aider les défenseurs à détecter les tentatives d'exploitation.

Comment exécuter

Exécutez simplement le script, en fournissant un fichier Sct à exécuter et un nom de sortie pour votre fichier RTF :

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Détection

J'ai inclus une règle Yara pour détecter les tentatives d'exploitation de cette vulnérabilité via RTF.

Références

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570