MS Office में CVE-2026-21509 भेद्यता के लिए डिटेक्शन

इस रिपॉजिटरी में CVE-2026-21509 के संभावित शोषण वाले RTF दस्तावेज़ों का पता लगाने के लिए एक YARA नियम, और यह जाँचने के लिए एक Python स्क्रिप्ट शामिल है कि MS Office फ़ाइलों में Shell.Explorer.1 OLE ऑब्जेक्ट हैं या नहीं, जो उस भेद्यता से संबंधित है।

अधिक तकनीकी विवरण के लिए https://decalage.info/CVE-2026-21509/ देखें।

RTF फ़ाइलों के लिए YARA नियम

यह नियम उन RTF दस्तावेज़ों से मेल खाता है जिनमें Shell.Explorer.1 OLE ऑब्जेक्ट होते हैं, जिनका उपयोग CVE-2026-21509 भेद्यता का शोषण करने के लिए किया जाता है। यह MalwareBazaar पर अपलोड किए गए सभी नमूनों का पता लगाता है: https://bazaar.abuse.ch/browse/tag/CVE-2026-21509/

वैध दस्तावेज़ों के लिए ऐसे OLE ऑब्जेक्ट को एम्बेड करने का कोई अच्छा कारण नहीं है (जिसका उपयोग Internet Explorer इंजन को अन्य अनुप्रयोगों में एम्बेड करने के लिए किया जाता है), इसलिए बहुत कम गलत सकारात्मक परिणाम होने चाहिए।

YARA नियम दो संस्करणों में आता है:

• CVE-2026-21509_RTF.yar जो CLSID स्ट्रिंग के प्रत्येक वर्ण के बीच व्हाइटस्पेस वर्णों की अनुमति देता है। यह धीमा है, लेकिन यह MS Word में RTF पार्सर की तरह व्यवहार करता है जो ऐसे व्हाइटस्पेस की अनुमति देता है।
• CVE-2026-21509_RTF_nows.yar बिना व्हाइटस्पेस के। यह नियम तेज़ है, लेकिन यह कुछ डिटेक्शन से चूक सकता है यदि CLSID स्ट्रिंग में व्हाइटस्पेस या न्यूलाइन वर्ण डाले गए हों।