CVE-2024-21413 | Microsoft Outlook リモートコード実行脆弱性 PoC

📜 説明

このスクリプトは、CVE-2024-21413 の概念実証（PoC）です。これは Microsoft Outlook で発見された深刻なセキュリティ脆弱性で、CVSS スコアは 9.8 です。#MonikerLink バグと呼ばれるこの脆弱性は、ローカル NTLM 情報の漏洩やリモートコード実行の可能性など、広範囲にわたる影響を及ぼします。さらに、Office の Protected View をバイパスする攻撃ベクトルも明らかになっており、他の Office アプリケーションにも脅威が及びます。

🚀 使い方

このツールは責任を持って使用し、標的システムの所有者から許可を得ていることを確認してください。このスクリプトは SMTP 認証を使用してメールを送信し、SPF、DKIM、DMARC チェックをバイパスします。これにより、現実世界の攻撃シナリオをより効果的にシミュレートできます。

python CVE-2024-21413.py --server "<SMTP server>" --port <SMTP port> --username "<SMTP username>" --password "<SMTP password>" --sender "<sender email>" --recipient "<recipient email>" --url "<link URL>" --subject "<email subject>"

パラメーター:

• --server: SMTP サーバーのホスト名または IP アドレス。
• --port: SMTP サーバーのポート番号。
• --username: 認証用の SMTP サーバーユーザー名。
• --password: 認証用の SMTP サーバーパスワード。
• --sender: 送信者のメールアドレス。
• --recipient: 受信者のメールアドレス。
• --url: メールに含める悪意のあるパス。
• --subject: メールの件名。

初回送信

Outlook での表示（警告なし、Protected View なし）

Wireshark キャプチャ（NTLM 資格情報を含む。代わりに impacket を実行することも可能）

🧐 なぜ SMTP 認証が必要か？

このデモでは、送信メールが SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting, and Conformance）などの一般的なメール検証チェックを確実にバイパスできるようにするために、SMTP 認証が不可欠です。これらのセキュリティ対策は、攻撃者が偽装されたアドレスからメールを送信するスプーフィングを検出・防止するために設計されています。認証された SMTP を使用することで、このデモは高度な攻撃者がどのようにこれらの保護を回避するかを忠実に再現し、テスト環境をより現実的にし、包括的なメールセキュリティ対策の重要性を強調しています。

デモ

0-click NTLM 漏洩

1-click リモートコード実行（RCE）

📆 変更履歴

[2024年2月19日] - 0-Click NTLM 漏洩を追加

• 0-click NTLM 漏洩を確認し、実現（JT に感謝！）
• まだ公開されていません

[2024年2月18日] - 1-click RCE を追加

• Microsoft Outlook リモートコード実行（RCE）を実現・確認
• まだ公開されていません

[2024年2月16日] - 初回リリース

• CVE-2024-21413 のエクスプロイトを紹介する初回リリース

クレジット

• Checkpoint が素晴らしい研究をすべて行いました。
• Microsoft セキュリティアドバイザリ

📌 作成者

Alexander Hagenah

• ウェブサイト
• Twitter
• LinkedIn

⚠️ 免責事項

このツールは教育および倫理的テスト目的のみで使用されることを意図しています。許可なくシステムをスキャン、テスト、または悪用することは違法であり、非倫理的です。標的システムに対するテストや悪用活動を行う前に、明示的な許可を得ていることを確認してください。