sentinelblue/cve-2022-30190Regola analitica di Microsoft Sentinel e query di caccia in ASIM per l'attività di MSDT e CVE-2022-30190.
Lunedì 30 maggio 2022, Microsoft ha rilasciato CVE-2022-30190 riguardante la vulnerabilità di Microsoft Support Diagnostic Tool (MSDT) in Windows.
Esiste una vulnerabilità di esecuzione remota di codice quando MSDT viene chiamato utilizzando il protocollo URL da un'applicazione chiamante come Word. Un utente malintenzionato che sfrutta con successo questa vulnerabilità può eseguire codice arbitrario con i privilegi dell'applicazione chiamante. L'utente malintenzionato può quindi installare programmi, visualizzare, modificare o eliminare dati o creare nuovi account nel contesto consentito dai diritti dell'utente.
https://nvd.nist.gov/vuln/detail/CVE-2022-30190
Visita la directory sentinel per ulteriori informazioni su caccia alle minacce e avvisi con Microsoft Sentinel.
Di seguito sono riportati due repository POC. Possiamo confermare che il POC di John Hammond funziona. È ciò che abbiamo utilizzato per convalidare gli avvisi aprendo una finestra di "notepad" tramite un documento Word.
https://github.com/JohnHammond/msdt-follina
https://github.com/onecloudemoji/CVE-2022-30190
https://www.sentinelone.com/blog/staying-ahead-of-cve-2022-30190-follina/
