CVE-2018-0802

• CVE-2018-08022: https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0802

• MITRE CVE-2018-0802: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-0802

• 0patch のエクスプロイトとパッチのビデオ: https://www.youtube.com/watch?v=XU-U4K270Z4

• Qihoo 360 のブログ記事 http://www.freebuf.com/vuls/159789.html

• Checkpoint のブログ (ブルートフォース ASLR 回避) https://research.checkpoint.com/another-office-equation-rce-vulnerability

packager_exec CVE-2018-0802

このリポジトリには、CVE-2018-0802 の概念実証エクスプロイトが含まれています。許可されるコマンド長の制限を回避するため、エクスプロイトは Packager OLE オブジェクトを使用して、埋め込まれたペイロードを %TMP% ディレクトリにドロップし、WinExec 呼び出しを介して短いコマンドでファイルを実行します。例: cmd.exe /c%TMP%\file.exe。

使用方法

packager_exec_CVE-2018-0802.py -e executable_path -o output_file_name

-d オプションを追加すると、同じドキュメント内で CVE-2017-11882 と CVE-2018-0802 の両方をエクスプロイトできます。

検出

この特定の亜種のエクスプロイトを検出するために Yara ルールを追加しました。これは簡単に回避できる可能性があり、微調整が必要かもしれません。より良いルールの PR をお待ちしています ;)

謝辞

このエクスプロイトは、Embedi による CVE-2017-11882 に関する先行研究に大きく基づいています。ここで言及されている方々の素晴らしい業績に対して、私は一切の功績を主張しません。

また、多くの発見者にも賞賛を送ります:

• bee13oy of Qihoo 360 Vulcan Team
• zhouat of Qihoo 360 Vulcan Team
• Liang Yin of Tencent PC Manager
• Luka Treiber of 0patch Team - ACROS Security
• Netanel Ben Simon and Omer Gull of Check Point Software Technologies
• Yang Kang, Ding Maoyin and Song Shenlei of Qihoo 360 Core Security (@360CoreSec)
• Yuki Chen of Qihoo 360 Vulcan Team
• Zhiyuan Zheng

CVE-2018-0802 のサンプルエクスプロイト (ペイロードとして calc.exe を起動)

example フォルダには、CVE-2018-0802 脆弱性をエクスプロイトし、システム上で電卓を実行する .rtf ファイルが含まれています。