CVE-2017-8570

स्रोत: https://www.exploit-db.com/exploits/44263/

उपयोग विधि: python packager_composite_moniker.py -s calc.sct -o example.rtf

क्या?

यह रिपॉजिटरी CVE-2017-8570, जिसे "Composite Moniker" कमजोरी के नाम से भी जाना जाता है, के लिए एक Proof of Concept exploit शामिल करता है। यह Packager.dll ट्रिक का उपयोग करके %TEMP% निर्देशिका में एक sct फ़ाइल ड्रॉप करने और फिर कमजोरी द्वारा प्रदान किए गए प्रिमिटिव का उपयोग करके उसे निष्पादित करने का प्रदर्शन करता है।

क्यों?

कुछ कारण।

1. मैं यह देखना चाहता था कि क्या Packager.dll फ़ाइल-ड्रॉपिंग ट्रिक का उपयोग करके इस कमजोरी का शोषण करना संभव है।
2. जहाँ तक मुझे ज्ञात है, CVE-2017-8570 के अन्य सभी सार्वजनिक exploits वास्तव में CVE-2017-0199 के "Script Moniker" वेरिएंट का शोषण कर रहे हैं और वास्तव में composite moniker exploits नहीं हैं।
3. जंगली में उपयोग की जाने वाली शोषण तकनीकों के बारे में जागरूकता बढ़ाना, और रक्षकों को शोषण प्रयासों का पता लगाने में मदद करना।

कैसे चलाएं

बस स्क्रिप्ट चलाएं, निष्पादित करने के लिए एक Sct फ़ाइल प्रदान करें, और अपनी RTF फ़ाइल के लिए एक आउटपुट नाम दें:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF फ़ाइल लिखी गई: example.rtf

पता लगाना

मैंने RTF के माध्यम से इस कमजोरी का शोषण करने के प्रयासों का पता लगाने के लिए एक Yara नियम शामिल किया है।

संदर्भ

• Microsoft के CVE-2017-0199 पैच को बायपास करना
• टेम्प फ़ोल्डर में फ़ाइलें ड्रॉप करना सुरक्षा चिंताएँ उठाता है
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570