jakabakos/cve-2023-36884-ms-office-html-rceMS Office e Windows HTML RCE (CVE-2023-36884) - PoC ed exploit
L'11 luglio 2023, Microsoft ha rilasciato una patch volta a risolvere molteplici vulnerabilità di esecuzione remota di codice (RCE) attivamente sfruttate. Questa azione ha anche fatto luce su una campagna di phishing orchestrata da un attore di minaccia noto come Storm-0978, che prendeva specificamente di mira organizzazioni in Europa e Nord America. Al centro di questa campagna c'era una vulnerabilità zero-day, designata come CVE-2023-36884, che consentiva all'attaccante di sfruttare i file di ricerca di Windows attraverso documenti Office Open eXtensible Markup Language (OOXML) meticolosamente realizzati, con esche geopolitiche legate al Congresso Mondiale Ucraino (UWC). Sebbene inizialmente fosse stata proposta una soluzione alternativa per mitigare questa vulnerabilità, Microsoft ha rilasciato un aggiornamento Office Defense in Depth l'8 agosto 2023, spezzando efficacemente la catena di sfruttamento che aveva portato alla RCE tramite i file di ricerca di Windows (*.search-ms).
Questo script di exploit è stato scritto per un'analisi CVE su vsociety.
Installa i pacchetti PIP:
pip install python-docx pywin32
Crea un file example.html e avvia un server web HTTP Python:
New-Item -Path "example.html" - ItemType File
python -m http.server 8888
Quindi, esegui lo script:
python gen_docx_with_rtf_altchunk.py merged.docx autolinked.rtf http://localhost:8888/example.html
Ora il file generato può essere condiviso con la tua vittima via email o altro. Il collegamento può fare riferimento al tuo server SMB per rubare l'hash NTLM della vittima oppure a un file HTML che contiene un iframe con un riferimento a un file di ricerca di Windows, proprio come nel malware originale. A causa della mancanza di ulteriori informazioni, lo sfruttamento esatto non può essere mostrato.
Questo script di exploit è stato creato esclusivamente per scopi di ricerca e per lo sviluppo di tecniche difensive efficaci. Non è inteso per essere utilizzato per attività dannose o non autorizzate. L'autore e il proprietario dello script declinano qualsiasi responsabilità per usi impropri o danni causati da questo software. Gli utenti sono invitati a utilizzare questo software in modo responsabile e solo in conformità con le leggi e le normative applicabili. Usalo in modo responsabile.