CVE-2017-8570

Cosa?

Questo repository contiene un exploit Proof of Concept per CVE-2017-8570, la vulnerabilità nota anche come "Composite Moniker". Dimostra l'utilizzo del trucco di Packager.dll per rilasciare un file sct nella directory %TEMP% ed eseguirlo usando la primitiva fornita dalla vulnerabilità.

Perché?

Alcuni motivi.

1. Volevo vedere se fosse possibile usare il trucco di Packager.dll per il rilascio di file per sfruttare questa vulnerabilità.
2. Per quanto ne so, tutti gli altri exploit pubblici per CVE-2017-8570 sfruttano in realtà la variante "Script Moniker" di CVE-2017-0199 e non sono in realtà exploit basati su composite moniker.
3. Aumentare la consapevolezza delle tecniche di sfruttamento utilizzate nel mondo reale e aiutare i difensori a rilevare i tentativi di sfruttamento.

Come eseguire

Basta eseguire lo script, fornendo un file Sct da eseguire e un nome di output per il tuo file RTF:

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

Rilevamento

Ho incluso una regola Yara per rilevare i tentativi di sfruttare questa vulnerabilità tramite RTF.

Riferimenti

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html