Follina Exploiter CLI ツールの MSDT 脆弱性（CVE-2022-30190）

MSDT（Microsoft Support Diagnostic Tool）のゼロデイ脆弱性、別名 'Follina'（CVE-2022-30190）を悪用するためのコマンドラインベースの Python ツールです。

情報 : 攻撃で PowerShell を実行するために使用される新しい Microsoft Office ゼロデイ

Python（3.10.4）で作成

機能

1. 被害者のデバイスで悪意のあるコマンドを実行します。
2. リバースシェル（NetCat）を取得します。
3. .rtf ファイル用の Zero Click RTF が含まれています。New

要件

• pyfiglet

インストール

• リポジトリをクローン

https://github.com/0xAbbarhSF/FollinaXploit

Linux の場合

• 必要なモジュールをインストール

pip3 install pyfiglet

ワンライナーコマンド

git clone https://github.com/0xAbbarhSF/FollinaXploit && pip3 install pyfiglet && cd FollinaXploit

• 実行

python3 "follinaExploiter.py"

Windows の場合

• 必要なモジュールをインストール

pip install pyfiglet

• 実行

python "follinaExploiter.py"

どのように動作するのか？

この脆弱性は、MSProtocol URI スキームを使用してコードを読み込むことで悪用されます。 攻撃者は、ms-msdt: で始まる悪意のあるリンクを Microsoft Office ドキュメント、テンプレート、またはメールに埋め込む可能性があり、 ユーザーの操作なしで後から読み込まれて実行されます

• ただし、Protected View（保護ビュー）モードが有効な場合を除きます。それでも、ドキュメントを RTF 形式に変換すると、 Protected View 機能をバイパスすることもできます。

MS Office の docx ファイルには、外部 OLE オブジェクト参照が HTML ファイルとして含まれる場合があります。HTML スキーム「ms-msdt:」は msdt 診断ツールを呼び出し、パラメータで指定された任意のコードを実行できます。

BONUS（0クリック RTF 版）（自分で行う） 同梱されるようになりました

<o:LinkType>EnhancedMetaFile</o:LinkType>
<o:LockedField>false</o:LockedField>
<o:FieldCodes>\f 0</o:FieldCodes>