CVE-2023-38831

CVE-2023-38831 に関する POC デモ

脆弱性の概要

• CVE-2023-38831 はソフトウェアの脆弱性です。
• 悪用されたソフトウェアは WinRAR で、ほぼすべての人が広く使用しています。
• これは、さまざまなドキュメントやファイルを小さなアーカイブ（zip ファイル形式）にまとめるソフトウェアであり、スペースを節約してファイル共有をより簡単かつ高速にするのに役立ちます。
• この脆弱性は 2023 年 4 月に発見されました。
• Windows オペレーティングシステムおよびバージョン 6.22 以下に影響します。
• これは、「winrar.7FF6CE909948」と呼ばれる WinRAR バックエンドコードの欠陥のある関数が原因で、パラメータをチェックせず、zip ディレクトリ内のファイル名を比較しないため、「document.pdf」と「document.cmd」という名前のバッチスクリプトのような 2 つの同一ファイルがバイパスされて抽出されることを許可します。
• 悪用を成功させるにはユーザーの操作が必要です。

脆弱性はどのように機能するのか？

エクスプロイトのデモンストレーション

悪用の第一部

悪用を開始するための前半は、攻撃者のマシンで行われます。

1) まず、悪意のある添付ファイル「pdf」、エクスプロイト用 Python コード、バッチスクリプトを含む悪用フォルダを次のコマンドで作成する必要があります： 「git clone https://github.com/HDCE-inc/CVE-2023-38831」

 

2) これは、悪用が行われる前のフォルダの内容です。

1. 被害者を騙して悪意のあるファイルをクリックさせるための document.pdf
2. エクスプロイトコード用の exploit.py
3. 被害者のマシンで悪意のあるスクリプトを実行するための script.bat

 

3) ifconfig を使用して Kali マシンの IP アドレスを確認します：

 

4) 次に、script.bat の既存のスクリプトを次のコマンドライン（上の画像）に変更します。

「start」はコマンドラインプロセスを開始するため、「/min」はコマンドプロンプトをバックグラウンドで最小化するため、ncat は攻撃者の IP アドレスにポート 4444 経由で接続を開始するため、最後に「-e cmd.exe」はコマンドプロンプトでコマンドラインを実行するためです。

 

5) 以下は、exploit.py コードの説明です：

¹ は、おとりファイル名（document.pdf）、スクリプトファイル名（bat.script）、および被害者に RAR ファイルとして表示される出力名のユーザー入力を指します。この場合、getrich.rar として保存します。

² は、Kali Linux マシンの CVE-2023-38831 フォルダ内に既存のファイルが正しい命名規則で存在するかを検証するチェックを指します。命名が間違っているかファイルが重複している場合は、エラーメッセージが表示され、プログラムは停止して終了します。

³ は、os.mkdir() を使用して一時ファイルの保存先を作成し、アーカイブに圧縮される前に新しく作成されたファイルを保存してワークスペースとして使用することを指します。

⁴ は、コピー行である shutil.copyfile を指し、おとりファイルとスクリプトファイルの両方を「tmp」内のそれぞれのディレクトリにコピーして保存し、次のステップに進む前に必要なファイルがすべて正しく配置されていることを確認します。次のステップでは、shutil.make_archieve が「tmp」フォルダ内のすべてを含む「tmp.zip」というアーカイブを「tmp」から作成します。

⁵ は、上記のコードが正常に実行され、おとりファイル、スクリプトファイル、出力ファイル名のユーザー入力によってエクスプロイトとしての RAR ファイルが正常に作成されたことを指します。

 

6) IP アドレスを取得し、バッチスクリプトを変更したら、「python exploit.py」コマンドを実行して悪意のある「.rar」ファイルの作成に進むことができます。

exploit.py は 3 つのフィールドのユーザー入力を要求します。既存のおとりファイル名（document.pdf）、以前に変更したスクリプトファイル名（script.bat）、および被害者を騙してファイルをダウンロードさせクリックさせるための出力 RAR ファイル名です。この場合、「steps-to-generate-income.rar」という適切な名前を使用しました。 これで CVE-2023-38831 は被害者のマシンを悪用する準備が整いました。

 

---

悪用の第二部

後半は、Kali マシンと被害者のマシン（Windows 11 VM）の両方で行われます。

1) まず、悪意のあるウェブサイトを作成するか、添付ファイルを被害者に送信します。
左側では、「python -m http.server 8080」を実行します。このコマンドは、どの IP アドレスがこの悪意のある URL にアクセスしたかをキャプチャするプロセスであり、これにより被害者の IP アドレスを知ることができ、特定の IP アドレスによる「200」などのさまざまな HTTP リクエストを待ち受けます。右側では、被害者がこの IP アドレスに誘導され、「steps-to-generate-income.rar」ファイルをダウンロードするように仕向けられます。

 

2) 被害者が悪意のあるファイル「steps-to-generate-income.rar」をダウンロードするように誘導されると、どの IP アドレスがいつファイルをダウンロードしたかが表示されます。この情報から、被害者の IP アドレスを取得できます。

 

3) 次に、Kali マシンのポート 4444 で ncat をセットアップします。ポート 4444 は、被害者のマシンで実行される script.bat に記述されているポートと同じポートに同期するためです。
被害者が document.pdf をクリックすると、bat.script がコマンドラインを実行してバックグラウンドで瞬時に最小化し、攻撃者にバックドア接続を許可します。

 

4) 次に、「C:\Windows」と入力してから「dir」と入力して保存されているさまざまな exe ファイルを一覧表示するなど、被害者のマシンでさまざまなコマンドを実行できます。

被害者のマシンで実行された 3 つのコマンドは次のとおりです。

「1」で強調表示されている最初のコマンドは「net user」で、アカウントがいくつあるかを確認します。これにより、アカウントが W11 の 1 つだけであると結論付けることができます。

「2」で強調表示されている 2 番目のコマンドは「systeminfo」で、被害者のマシンについて詳しく理解し、ユーザーがどのような権限を持っているかを確認します。この例では管理者権限です。

「3」で強調表示されている 3 番目のコマンドは、ランダムなフォルダを移動するものです。この場合、「C:\Users\W11」と入力してから「dir」と入力してファイルとフォルダの種類を確認し、次に「C:\Users\W11\Documents」と入力してから「dir」と入力して Documents ディレクトリの内容を確認します。幸いなことに、このユーザーはパスワードを notepad.txt に保存しています。次に、コマンドラインでこのメモ帳の詳細を出力して内容を明らかにします。「type secret.txt」。この結果から、このコマンドラインを使用して被害者のマシン内のファイルを読み取り、書き込み、編集できることがわかります。キーロガーを仕込むなどのさらなるアクションも実行でき、被害者のマシンをより脆弱にして、より多くの機密情報をさらすことができます。

5) 最後に、次のコマンドを実行してユーザーのデスクトップにメモ帳ファイルを作成できます：
「echo "You've been hacked, please go to testingwebsite" > C:\Users\W11\D\hacked.txt」を実行すると、被害者のマシンが悪用されたことを示す hacked.txt がユーザーのデスクトップに作成されます。

---

予防と緩和策

• 最新の WinRAR バージョンにアップグレードする。この脆弱性はバージョン 6.22 以下にのみ影響するため。
  • 利点：ソフトウェアを安全に使用でき、ソフトウェアのパフォーマンスが向上する
  • 欠点：以前のバージョンの古い機能が削除または置き換えられる可能性がある
• すべてのシステムに最小権限の原則を実装する。
  • 利点：ユーザー権限を制限することで、攻撃が発生した場合の影響を軽減し、リスクを低減できる
  • 欠点：大規模な組織ではすべてのユーザーが適切なアクセス権限を持っていることを一貫して実装するのが難しく、不整合やエラーが発生する可能性がある
• 基本的なサイバーハイジーンを実践し、常にデータを安全なソースにバックアップする。
  • 利点：フィッシングや不審なウェブサイトを特定でき、攻撃が発生した場合のデータ損失を防ぐことができる
  • 欠点：不要なデータバックアップが発生し、組織にとって意味のないデータの冗長性や不整合につながる可能性がある
• 追加のセキュリティ層として、常にアンチウイルスソフトウェアをインストールする。

---

参考文献：

Chromium Docs - Severity Guidelines for Security Issues. (n.d.). Retrieved February 20, 2024, from https://chromium.googlesource.com/chromium/src/+/HEAD/docs/security/severity-guidelines.md#:~:text=High%20severity%20(S1)%20vulnerabilities%20allow,be%20rated%20as%20high%20severity.

Deland-Han. (2014, February 19). Dynamic link library (DLL) - Windows Client. Microsoft Learn. https://learn.microsoft.com/en-us/troubleshoot/windows-client/setup-upgrade-and-drivers/dynamic-link-library

Gillis, A. S. (2023, September 26). principle of least privilege (POLP). Security. https://www.techtarget.com/searchsecurity/definition/principle-of-least-privilege-POLP

GmbH, W. (n.d.). WinRAR 7.00 Final released. WinRAR Latest News. https://www.win-rar.com/singlenewsview.html?&L=0&cHash=c5bf79590657e32554c6683296a8e8aa&tx_ttnews%5Btt_news%5D=232

Lab, S. (2023, September 26). Analysis of CVE-2023-38831 Zero-Day vulnerability in WinRAR. Penetration Testing and CyberSecurity Solution - SecureLayer7. https://blog.securelayer7.net/analysis-of-cve-2023-38831-zero-day-vulnerability-in-winrar/

Patch management: benefits and best practices | Balbix. (2022, October 22). Balbix. https://www.balbix.com/insights/patch-management-benefits-and-best-practices/

Research, U. T. (2023, November 17). WinRAR CVE-2023-38831 Vulnerability: Malware Exploits & APT Attacks. https://www.uptycs.com/blog/cve-2023-38831-winrar-zero-day

Slavin, B. (2024, March 18). Common DMARC problems faced by users | DMARC Report. DMARC Report. https://dmarcreport.com/blog/common-dmarc-problems-faced-by-users/

ThreatLocker. (2023, September 11). WinRAR Remote Code Execution. ThreatLocker. https://www.threatlocker.com/blog/winrar-remote-code-execution

Traders’ Dollars in Danger: CVE-2023-38831 zero-Day vulnerability in WinRAR exploited by cybercriminals to target traders. (2023, August 23). Group-IB. https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/

Vulnera. (2023, November 16). DarkCasino: a new APT threat leveraging WinRAR vulnerability - VULNERA. VULNERA - Vulnerability Management. Simplified. https://vulnera.com/newswire/darkcasino-a-new-apt-threat-leveraging-winrar-vulnerability/