💻 प्रभावित उत्पाद

• Microsoft Office 2016
• Microsoft Office 2019
• Office LTSC 2021
• Office LTSC 2024
• Microsoft 365 Apps for Enterprise

⚠️ हमले कैसे काम करते हैं

हमलावर फ़िशिंग या सोशल इंजीनियरिंग के माध्यम से दुर्भावनापूर्ण Word या Excel दस्तावेज़ भेजते हैं। जब कोई उपयोगकर्ता फ़ाइल खोलता है, तो Office के विश्वास तंत्र बायपास हो जाते हैं — जिससे हानिकारक सामग्री चलाना आसान हो जाता है।

🛠️ उपयोग और परीक्षण कैसे करें

1. इंस्टॉल करें: pip install python-docx olefile

2. चलाएँ: python3 CVE-2026-21509.py --output test.docx --clsid YOUR_CLSID

3. परीक्षण करें: कमजोर Office VM (पैच-पूर्व) में test.docx खोलें। ProcMon के साथ मॉनिटर करें; यदि बायपास काम करता है, तो OLE बिना ब्लॉक प्रॉम्प्ट के लोड होता है।

4. बढ़ाएँ:

   • oletools का उपयोग करें (pip install oletools): RTF OLE बनाने के लिए rtfobj, या VBA ऑटो-रन जोड़ने के लिए olevba।
   • CLSID को असुरक्षित COM (जैसे, MSCOMCTL.OCX नियंत्रण) से बदलें, OleViewDotNet से।
   • पूर्ण बायपास के लिए: दुर्भावनापूर्ण गुणों के साथ ActiveX एम्बेड करें (पैटर्न के लिए CVE-2017-11882 जैसे OLE शोषण पर शोध करें)।
   • रजिस्ट्री किल बिट लागू करें (जैसा कि सलाह में है) → ब्लॉक की पुष्टि के लिए फिर से परीक्षण करें।

यदि CVE-2026-21509 के लिए Python PoC सफलतापूर्वक काम करता है (आवश्यक लाइब्रेरी स्थापित सिस्टम पर), तो यहाँ वास्तव में वही है जो आप चरण दर चरण देखेंगे:

1. स्क्रिप्ट चलाना (टर्मिनल आउटपुट)

अपेक्षित सफलता आउटपुट:

• मुख्य संकेत:
  • कोई त्रुटि नहीं (जैसे, कोई ImportError, OSError, या XML समस्या नहीं)।
  • दो फ़ाइलें बनाई गईं: test.docx (दुर्भावनापूर्ण दस्तावेज़) और embedded_ole.bin (संदर्भ के लिए OLE स्ट्रीम)।
  • स्क्रिप्ट सेकंडों में चलती है (त्वरित फ़ाइल निर्माण)।

यदि यह विफल होता है (जैसे, python-docx या olefile गायब):

समाधान: pip install python-docx olefile

2. कमजोर Office में जनरेटेड DOCX खोलना

• कमजोर Office पर (26 जनवरी 2026 पैच-पूर्व, जैसे, अनपैच्ड Office 2016/2019):

  • फ़ाइल सामान्य रूप से खुलती है (यदि बायपास किया गया है तो कोई संरक्षित दृश्य प्रॉम्प्ट नहीं, या कोई "ब्लॉक्ड" OLE चेतावनी नहीं)।
  • एम्बेडेड OLE ऑब्जेक्ट चुपचाप लोड होता है या प्लेसहोल्डर आइकन/सामग्री दिखाता है।
  • सफलता संकेतक (मॉनिटरिंग टूल के माध्यम से):
    • ProcMon (प्रोसेस मॉनिटर): ब्लॉक इवेंट के बिना OLE-संबंधित रजिस्ट्री रीड देखें (जैसे, HKCR\CLSID\{EAB22AC3-...} के अंतर्गत)।
    • OLE नियंत्रणों के लिए कोई "सुरक्षा चेतावनी" डायलॉग नहीं।
    • यदि पेलोड बढ़ाया गया है (जैसे, वास्तविक शोध में VBA या शेलकोड के साथ): संभावित कोड निष्पादन (जैसे, calc.exe पॉप होता है, फ़ाइल लिखी जाती है, आदि)।
  • दृश्य: दस्तावेज़ आपका टेक्स्ट ("Test document...") + एक एम्बेडेड ऑब्जेक्ट आइकन/बॉक्स दिखाता है (खाली या "Package" के रूप में दिख सकता है)।

• पैच किए गए Office पर (या रजिस्ट्री किल बिट लागू के साथ):

  • OLE ऑब्जेक्ट ब्लॉक है: "This object cannot be created" या समान चेतावनी।
  • दस्तावेज़ खुलता है लेकिन एम्बेडेड सामग्री लोड होने में विफल रहती है (ग्रे बॉक्स या त्रुटि प्लेसहोल्डर)।

त्वरित सारांश तालिका

प्रो टिप्स:

• Windows VM स्नैपशॉट में परीक्षण करें (शोध के लिए अस्थायी रूप से Defender अक्षम करें)।
• बढ़ाएँ: DOCX का निरीक्षण करने के लिए oletools का उपयोग करें (olevba test.docx या rtfobj) और वास्तविक दुर्भावनापूर्ण OLE डेटा जोड़ें।
• यदि कोई OLE लोड नहीं होता है: CLSID अमान्य हो सकता है—OleViewDotNet.exe (मुफ्त टूल) से ज्ञात असुरक्षित एक से बदलें।

यदि प्रभावित हैं तो Office को तुरंत पैच करें! यदि आप इसे चलाते हैं और विशिष्ट आउटपुट/त्रुटियाँ प्राप्त करते हैं, तो डिबगिंग के लिए उन्हें यहाँ पेस्ट करें। 😈

🛠️ फिक्स और शमन

✅ पैच स्थिति

• Microsoft ने जनवरी 2026 में आपातकालीन आउट-ऑफ-बैंड अपडेट जारी किए।
• Microsoft 365 उपयोगकर्ताओं को आमतौर पर केवल Office को पुनरारंभ करने की आवश्यकता होती है।
• Office 2016/2019 उपयोगकर्ताओं को अपडेट मैन्युअल रूप से इंस्टॉल करना होगा।

🔒 अस्थायी सुरक्षा (यदि अनपैच्ड)

• दुर्भावनापूर्ण व्यवहार को पैचिंग तक ब्लॉक करने के लिए रजिस्ट्री-आधारित शमन उपलब्ध हैं।

⚠️ अस्वीकरण:

यह जानकारी केवल जागरूकता और रक्षात्मक सुरक्षा उद्देश्यों के लिए प्रदान की गई है। दुरुपयोग या अशुद्धियों के लिए कोई दायित्व नहीं लिया जाता है।