🔴 CVE-2022-30190 — Laboratorio Follina (MSDT RCE)

Ricercatore: Abhimanyu Rawat Ruolo: Tirocinante di Ricerca Tecnica e Operazioni di Cyber Security Data: 8 maggio 2026

📌 Cos'è Follina?

CVE-2022-30190 (soprannominata "Follina") è una vulnerabilità zero-day di esecuzione remota di codice (RCE) in Microsoft Windows che consente a un attaccante di eseguire comandi arbitrari semplicemente facendo aprire un documento Word alla vittima — senza bisogno di macro.

Funziona abusando del gestore URI ms-msdt://, un protocollo diagnostico legittimo di Windows, tramite la funzionalità dei modelli esterni di Microsoft Office.

🧪 Ambiente di laboratorio

⚠️ Nota di esclusione di responsabilità: Questo laboratorio è stato condotto in un ambiente VMware completamente isolato esclusivamente a scopo di ricerca educativa. Nessun sistema reale è stato preso di mira.

🔴 Catena di attacco

Attacker (Kali)                          Victim (Windows 10)
      │                                         │
      │── python3 follina.py ──────────────────►│ clickme.docx served
      │                                         │
      │                                    Word opens doc
      │                                         │
      │◄── GET /exploit.html ───────────────────│ ms-msdt:// triggered
      │                                         │
      │── exploit.html sent ───────────────────►│
      │                                         │
      │                                   MSDT executes
      │                                   calc.exe  ✅

Fase 1: Payload generato con follina.py → clickme.docx + exploit.html Fase 2: La VM Windows ha aperto il documento in Word 2019 → ha cliccato su Abilita modifica Fase 3: Word ha recuperato exploit.html dal server HTTP di Kali tramite il gestore ms-msdt:// Fase 4: MSDT ha eseguito calc.exe — esecuzione di codice arbitrario confermata

🟢 Rilevamento IDS con Suricata

La regola Suricata personalizzata SID:9000002 è scattata 8 volte in fast.log:

05/08/2026-07:21:31 [**] [1:9000002:1] CVE-2022-30190 Follina exploit.html Fetch Detected [**]
[Classification: A Network Trojan was detected] [Priority: 1]
{TCP} 192.168.153.129:51278 -> 192.168.153.128:8000

Regola di rilevamento utilizzata:

alert http any any -> any any (msg:"CVE-2022-30190 Follina exploit.html Fetch Detected"; flow:established,to_server; content:"exploit.html"; http_uri; nocase; classtype:trojan-activity; sid:9000002; rev:1;)

📁 File in questo repository

🛡️ Mitigazione

Applicare KB5014699 — Rilasciata il 14 giugno 2022. Rimuove completamente il gestore URI ms-msdt:// da Windows.

Verificare che la patch sia installata:

wmic qfe list | findstr "5014699"

🗺️ Mappatura MITRE ATT&CK

🔗 Riferimenti

• NVD — CVE-2022-30190
• Avviso di sicurezza Microsoft
• chvancooten/follina.py
• Documentazione di Suricata