decalage2/detect_cve-2026-21509Regola YARA e script Python per rilevare potenziali exploit per la vulnerabilità CVE-2026-21509 in MS Office
Questo repository contiene una regola YARA per rilevare documenti RTF con un potenziale exploit per CVE-2026-21509,
e uno script Python per verificare se i file MS Office contengono oggetti OLE Shell.Explorer.1, che sono correlati
a quella vulnerabilità.
Vedi https://decalage.info/CVE-2026-21509/ per maggiori dettagli tecnici.
Questa regola corrisponde a documenti RTF contenenti oggetti OLE Shell.Explorer.1, che vengono utilizzati per
sfruttare la vulnerabilità CVE-2026-21509. Rileva tutti i campioni caricati su
MalwareBazaar: https://bazaar.abuse.ch/browse/tag/CVE-2026-21509/
Non esiste alcuna buona ragione per cui documenti legittimi debbano incorporare un tale oggetto OLE (che viene utilizzato per incorporare il motore Internet Explorer in altre applicazioni), quindi dovrebbero esserci pochissimi falsi positivi.
La regola YARA è disponibile in due versioni:
CVE-2026-21509_RTF.yar che consente caratteri di spazio bianco tra ogni carattere della stringa CLSID.
Questa è più lenta, ma si comporta come il parser RTF di MS Word che consente tali spazi bianchi.CVE-2026-21509_RTF_nows.yarSecondo l'avviso MS https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21509
la vulnerabilità CVE-2026-21509 è correlata al CLSID EAB22AC3-30C1-11CF-A7EB-0000C05BAE0B,
corrispondente all'oggetto COM "Shell.Explorer.1", che può essere utilizzato per aprire il motore
Internet Explorer legacy (noto anche come Trident/MSHTML) da qualsiasi applicazione.
Quindi, per sfruttare CVE-2026-21509 da un documento MS Office, si potrebbe utilizzare un oggetto OLE di tipo "Shell.Explorer.1", oppure utilizzare una relazione esterna con un URL speciale che attiverebbe l'uso del motore Internet Explorer, come nel caso di CVE-2021-40444 con URL "mhtml:".
Questo script tenta semplicemente di identificare entrambi i casi.