CVE-2017-8570

これは何か？

このリポジトリには、"Composite Moniker" 脆弱性として知られる CVE-2017-8570 の Proof of Concept エクスプロイトが含まれています。これは、Packager.dll のトリックを使用して sct ファイルを %TEMP% ディレクトリにドロップし、その後、この脆弱性が提供するプリミティブを使用してそれを実行する方法を示しています。

なぜか？

いくつかの理由があります。

1. Packager.dll ファイルドロップのトリック を使用してこの脆弱性を悪用できるかどうかを確認したかったからです。
2. 私が知る限り、CVE-2017-8570 の他の公開エクスプロイトはすべて、実際には CVE-2017-0199 の "Script Moniker" 亜種を悪用するものであり、実際の composite moniker エクスプロイトではありません。
3. 実際に使用されている悪用手法への認識を高め、防御側が悪用の試みを検出できるようにすること。

実行方法

実行する Sct ファイルと、RTF ファイルの出力名を指定して、スクリプトを実行するだけです：

python packager_composite_moniker.py -s calc.sct -o example.rtf
[+] RTF file written to: example.rtf

検出

この脆弱性を RTF 経由で悪用しようとする試みを検出するための Yara ルールを含めました。

参照

• https://justhaifei1.blogspot.co.uk/2017/07/bypassing-microsofts-cve-2017-0199-patch.html
• https://securingtomorrow.mcafee.com/mcafee-labs/dropping-files-temp-folder-raises-security-concerns/
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-8570