corelight/cve-2021-42292CVE-2021-42292, एक Microsoft Excel स्थानीय विशेषाधिकार वृद्धि शोषण, का पता लगाने के लिए एक Zeek पैकेज।
यह पैकेज CVE-2021-42292 के शोषण का पता लगाएगा, जो Microsoft Excel की एक स्थानीय विशेषाधिकार वृद्धि भेद्यता है, और इसके लिए notice.log में एक सूचना उत्पन्न करेगा।
https://corelight.com/blog/detecting-cve-2021-42292
यह पैकेज भेद्यता का पता तब लगाता है जब ट्रिगर करने वाली Excel स्प्रेडशीट दूसरी स्प्रेडशीट डाउनलोड करती है। दूसरी स्प्रेडशीट को बढ़े हुए विशेषाधिकारों के साथ निष्पादित किया जाता है। हम इस स्क्रिप्ट के साथ Microsoft Excel द्वारा एक Microsoft Excel फ़ाइल डाउनलोड करने का पता लगा सकते हैं। हमारे परीक्षण में कुछ लाइव नेटवर्कों पर जिनकी हम निगरानी करते हैं, यह संयोजन अत्यंत दुर्लभ था और अब तक हमें कोई गलत सकारात्मक (false positive) नहीं मिला है।
$ zeek -Cr excelsploit_1.pcap packages
$ cat notice.log
#separator \x09
#set_separator ,
#empty_field (empty)
#unset_field -
#path notice
#open 2021-11-10-10-56-50
#fields ts uid id.orig_h id.orig_p id.resp_h id.resp_p fuid file_mime_type file_desc proto note msg sub src dst p n peer_descr actions email_dest suppress_for remote_location.country_code remote_location.region remote_location.city remote_location.latitude remote_location.longitude
#types time string addr port addr port string string string enum enum string string addr addr port count string set[enum] set[string] interval string string string double double
1636433584.277654 CeV1DA2EM1pRTfgWkc 127.0.0.1 51543 127.0.0.1 80 - - - tcp CVE_2021_42292::CVE_2021_42292 127.0.0.1 may be compromised by CVE-2021-42292, MS Office Excel download using Office from 127.0.0.1 detected. See sub field for additional triage information host='127.0.0.1', method='HEAD', user_agent='Microsoft Office Excel 2014', CONTENT-TYPE='application/vnd.ms-excel', uri='/replica.xls' 127.0.0.1 127.0.0.1 80 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
1636433584.311236 CgKWSM1bhhl7K8B6n8 127.0.0.1 51545 127.0.0.1 80 - - - tcp CVE_2021_42292::CVE_2021_42292 127.0.0.1 may be compromised by CVE-2021-42292, MS Office Excel download using Office from 127.0.0.1 detected. See sub field for additional triage information host='127.0.0.1', method='GET', user_agent='Mozilla/4.0 (compatible; ms-office; MSOffice 16)', CONTENT-TYPE='application/vnd.ms-excel', uri='/replica.xls' 127.0.0.1 127.0.0.1 80 - - Notice::ACTION_LOG (empty) 3600.000000 - - - - -
#close 2021-11-10-10-56-50
Suricata नियम भी प्रदान किए गए हैं जो Zeek पैकेज की पता लगाने की कार्यप्रणाली को दर्शाते हैं।