WEAPONIZING-CVE-2024-4367

CVE-2024-4367 は PDF.js における重大な脆弱性（CVSS 9.8）であり、PDF ファイル内の FontMatrix オブジェクトに対する型チェックの不備により、任意の JavaScript コード実行が可能になります。

CVE-2024-4367 エクスプロイトウィザード：ユーザーガイド

1. 環境セットアップ

前提条件

1. オペレーティングシステム:

   • Debian/Ubuntu ベースの Linux ディストリビューションまたは同等のもの。管理者権限が必要です。
   • Python 3.x がインストールされていることを確認してください（python3 --version）。

2. スクリプトのセットアップ:

   • エクスプロイトスクリプトを任意のディレクトリ（例：~/cve-2024-4367/）に cve_2024_4367_exploit_wizard.py というファイル名で保存します。

3. テンプレート PDF:

   • template.pdf という名前の無害な PDF ファイルを同じディレクトリに配置します。このファイルが悪意のある PDF のベースとなります。

4. ソーシャルエンジニアリングツールキット（SET）:

   • SET（Social Engineering Toolkit）をインストールします:
     root@kitploit:~

     sudo apt-get update
     sudo apt-get install set
     

   • インストールを確認します:
     root@kitploit:~

     which setoolkit
     

2. エクスプロイトウィザードの実行

ステップ 1: スクリプトを実行可能にする（任意）

スクリプトに実行権限を付与します:

chmod +x cve_2024_4367_exploit_wizard.py

ステップ 2: スクリプトを実行する

以下のいずれかの方法でスクリプトを実行します:

./cve_2024_4367_exploit_wizard.py

または

python3 cve_2024_4367_exploit_wizard.py

ステップ 3: 画面上のプロンプトに従う

スクリプトが攻撃プロセスをステップバイステップでガイドします。

3. ステップバイステップのウィザードワークフロー

ステップ 1: 依存関係の確認とインストール

• スクリプトは以下を自動的にチェックします:
  • PyPDF2: PDF の操作に必要です。
  • SET: フィッシングキャンペーンに使用されます。
• 不足している依存関係は自動的にインストールされます（または手動インストールのプロンプトが表示されます）。

ステップ 2: 悪意のある PDF の作成

• スクリプトは template.pdf の /FontMatrix フィールドに JavaScript ペイロードを注入します。
• 出力ファイル malicious.pdf は同じディレクトリに保存されます。
• 成功または失敗が表示されます。

ステップ 3: キャンペーンターゲットの管理

• ターゲットのメールアドレス（または識別子）を対話的に追加します。
• 各ターゲットのメールアドレスを 1 つずつ入力します。
• done と入力してリストを確定します。

ステップ 4: ソーシャルエンジニアリングツールキット（SET）の起動

• スクリプトは SET と連携して、フィッシング経由で悪意のある PDF を配信します。
• SET のプロンプトに従ってキャンペーンを設定します:
  • メールテンプレートを設定します。
  • malicious.pdf を添付します。
• SET を終了してウィザードに戻ります。

ステップ 5: 悪意のある PDF のホスティング

• スクリプトは http://localhost:8080 で HTTP サーバーを起動します。
• malicious.pdf がダウンロード可能になります。
• ペイロードによって外部送信されたデータ（例：document.cookie）はスクリプトのコンソールに記録されます。

4. エクスプロイトのテスト

管理された環境での検証

1. 脆弱なバージョンの PDF.js またはサンドボックス化された VM で malicious.pdf を開きます。
2. サーバーログを監視して、ペイロードの実行とデータの外部送信を確認します。

外部送信ログの確認

• ペイロードによって送信されたデータ（例：クッキー）は次のように記録されます:
  root@kitploit:~

  [+] Data exfiltrated: session_id=abcd1234; auth_token=xyz987
  

追加テストのためのペイロードの変更

• キーロギングやリダイレクトなどのアクション用にペイロードをカスタマイズします。
• 環境がこれらの脅威を検出または軽減できるかどうかをテストします。

5. クリーンアップと実行後タスク

ローカルサーバーの停止

ターミナルで Ctrl+C を使用して HTTP サーバーを終了します。

悪意のある資産の保護

• 誤用を防ぐために malicious.pdf を削除または安全に保管します。
• ログやキャンペーンデータを安全にアーカイブします。

テスト環境のリセット

• 仮想マシンを使用している場合は、クリーンなスナップショットに戻します。
• システムに悪意のあるアーティファクトが残っていないことを確認します。

6. 重要な注意事項と法的免責事項

許可された使用のみ

• このスクリプトとガイドは、管理された環境内での教育目的および許可されたペネトレーションテストを対象としています。
• 許可のない使用は違法であり、重大な法的結果を招く可能性があります。
• エクスプロイトテストを実施する前に、必ず明示的な許可を取得してください。

システムの保護

1. PDF.js の更新:

   • CVE-2024-4367 を修正するために、最新バージョンの PDF.js がインストールされていることを確認します。

2. PDF での JavaScript の制限:

   • 可能な場合は、PDF ビューアでの JavaScript 実行を無効にします。

3. エンドポイント保護の実装:

   • 堅牢なエンドポイント検出および対応ツールを使用します。

4. ユーザーの教育:

   • 従業員にフィッシング攻撃を認識させ、未確認の PDF を開かないようにトレーニングします。

このガイドに責任を持って従うことで、実際の攻撃シナリオを効果的にシミュレートし、サイバーセキュリティ防御を強化できます。