CVE-2017-8570

क्या?

इस रिपॉजिटरी में CVE-2017-8570, उर्फ "Composite Moniker" कमज़ोरी के लिए एक Proof of Concept एक्सप्लॉइट है। यह Packager.dll ट्रिक का उपयोग करके %TEMP% निर्देशिका में एक sct फ़ाइल ड्रॉप करने और फिर कमज़ोरी द्वारा प्रदान किए गए प्रिमिटिव का उपयोग करके इसे निष्पादित करने का प्रदर्शन करता है।

क्यों?

कुछ कारण।

1. मैं यह देखना चाहता था कि क्या इस कमज़ोरी का शोषण करने के लिए Packager.dll फ़ाइल-ड्रॉपिंग ट्रिक का उपयोग करना संभव है।
2. जहाँ तक मुझे पता है, CVE-2017-8570 के लिए अन्य सभी सार्वजनिक एक्सप्लॉइट वास्तव में CVE-2017-0199 के "Script Moniker" वेरिएंट का शोषण कर रहे हैं और वास्तव में composite moniker एक्सप्लॉइट नहीं हैं।
3. जंगली में उपयोग की जाने वाली शोषण तकनीकों के बारे में जागरूकता बढ़ाना और रक्षकों को शोषण प्रयासों का पता लगाने में मदद करना।

कैसे चलाएँ

बस स्क्रिप्ट चलाएँ, जिसमें निष्पादित करने के लिए एक Sct फ़ाइल और अपनी RTF फ़ाइल के लिए एक आउटपुट नाम प्रदान करें:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

पहचान

मैंने RTF के माध्यम से इस कमज़ोरी का शोषण करने के प्रयासों का पता लगाने के लिए एक Yara नियम शामिल किया है।

संदर्भ

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570